TG咨询很多访问故障并不是单独由加速节点或服务器引起，而是出现在两者的边界上。理解CDN与源站配合关系时，应把请求路径、缓存规则和源站权限放在一起检查。下面六类风险，适用于网站、接口、图片站点和下载服务等常见场景。
一、回源协议和证书不匹配
用户到边缘节点、边缘节点到源站，可能分别使用不同协议。如果回源使用 HTTPS，而源站只配置了不完整的证书链、错误的域名证书或较旧的 TLS 参数，就可能出现回源失败。反过来，外层使用 HTTPS、内层降级为 HTTP，也会增加内容被篡改或敏感信息暴露的风险。
配置回源策略时，先确认源站证书的域名覆盖实际回源主机名，再检查证书链和有效期。测试时不要只打开首页，还应访问带参数的接口、静态文件和不存在的路径，分别观察状态码与错误日志。
二、源站地址暴露后，绕过加速层
如果源站公网地址出现在历史解析记录、邮件、错误页面或应用响应中，攻击者可能直接访问服务器，使限流、WAF规则和缓存保护失去作用。对于使用 Nginx 的源站，还要注意默认站点、管理端口和调试接口是否对公网开放。
- 为源站建立单独的回源域名，不在页面、脚本和公开文档中使用它。
- 在防火墙或云安全组中，仅放行可信的边缘节点出口范围；无法稳定维护范围时，应采用源站鉴权或专用回源通道。
- 用外部网络检查源站 IP 是否仍能返回业务内容，并关闭无关端口和默认虚拟主机。
这一步是源站访问控制的基础。单纯隐藏 IP 并不等于安全，访问权限必须在服务器侧实际执行。
三、缓存规则错误，造成数据泄露或旧内容长期存在
公开图片、字体和版本化静态文件通常适合缓存，但个人中心、订单查询、登录响应和带用户身份的页面不应被共享缓存。危险配置往往不是“缓存全部”，而是缓存键忽略了语言、设备、查询参数或授权状态，导致不同请求得到同一份响应。
配置缓存键时，逐项确认哪些请求字段会影响结果；对含有 Cookie、Authorization 或私人查询参数的响应，默认采用不缓存或仅浏览器私有缓存。发布新文件时可使用文件名版本号；必须立即替换的内容，则使用服务商提供的失效刷新功能，并保留源站回退方案。
四、回源压力集中，故障被放大
缓存未命中、规则频繁失效、短时间集中刷新，都会让大量请求同时到达源站。接口和动态页面尤其明显：边缘节点无法像静态文件那样长期复用响应，源站连接数、CPU、数据库连接池可能先达到上限。
在CDN与源站配合中，应区分静态请求和动态请求，给大文件、图片、接口设置不同的缓存与超时策略。上线前用受控流量观察回源请求数、5xx比例、响应时间和源站连接数；不要仅凭边缘节点命中率判断系统健康。对突发流量，可准备限流、降级页面和只读模式。
五、刷新、更新与多节点内容不一致
源站文件更新后，边缘节点可能仍保存旧对象；如果存在多台源站，还可能因发布顺序不同返回不同版本。短 TTL 能缩短不一致时间，却会增加回源量，不能替代明确的发布流程。
更稳妥的发布步骤
- 先上传带新版本标识的文件或目录，不直接覆盖正在使用的核心文件。
- 检查源站响应、文件大小、内容摘要和必要的响应头。
- 先在少量路径或低风险域名验证，再执行指定目录刷新。
- 观察边缘返回结果和源站日志，确认旧版本请求逐步减少后再清理旧文件。
对必须保持一致的配置文件，可采用短期不缓存、发布后主动刷新，并记录刷新开始时间。实际生效时间会受到节点数量、缓存层级和服务商调度影响，通常不能承诺所有地区瞬间同步。
六、故障切换条件不清，备用源站反而不可用
备用源站并非配置完成就能接管业务。若健康检查只访问首页，可能漏掉数据库连接失败、接口异常或特定 Host 配置错误；若切换后证书、文件、鉴权密钥和回源白名单不一致，用户仍会看到错误。
应为健康检查选择能代表核心业务的轻量路径，并明确连续失败次数、恢复次数和切换后的人工确认流程。主备环境至少要核对域名、证书、应用版本、静态资源、密钥、数据库读写权限及回源策略。自动切换适合故障边界清晰的场景；数据可能产生冲突时，应优先人工确认，避免双主写入。
配置前的快速核对表
| 检查项目 | 重点问题 | 不通过时的处理 |
|---|---|---|
| 协议与证书 | 回源主机名、证书链、TLS是否一致 | 修正证书或统一回源协议 |
| 权限 | 源站是否能被非边缘请求直接访问 | 收紧防火墙、鉴权和端口 |
| 缓存 | 是否区分公开内容与用户数据 | 调整缓存键和不缓存规则 |
| 发布 | 刷新范围和生效验证是否明确 | 使用版本化文件并保留回滚 |
| 切换 | 备用环境能否处理真实关键路径 | 补充检查项并定期演练 |
常见问题
1. 源站必须完全禁止公网访问吗？
不一定，但应限制为必要的边缘出口、管理网络或受控鉴权请求。若业务有独立管理入口，建议与公开回源入口分离。
2. TTL 设置越长越好吗？
不是。稳定的版本化静态文件可以较长缓存；价格、库存、账户状态等变化快的内容应缩短缓存或不缓存。
3. 为什么刷新后仍看到旧文件？
可能还有浏览器缓存、代理缓存、其他缓存层或请求命中了不同的缓存键。应逐层检查响应头、请求参数和刷新范围。
4. 如何判断备用源站真的可用？
不要只看健康检查为正常，应在隔离条件下验证登录、接口、静态资源、写入限制和回滚流程。
总的来说，稳定的CDN与源站配合不只是填写域名和回源地址，而是要同时验证协议、权限、缓存、发布和故障切换。把上述六类风险写入上线清单，并在版本发布和架构变更后重新检查，才能减少“边缘正常、源站失控”的问题。
