§ 00概述
前面章节把内功练好，本章把「门口」修好：静态与可缓存的流量由 CDN 在边缘消化，动态请求经反向代理统一治理——限流、防护、证书、路由都在门口完成，源站只处理真正需要计算的业务。
这一章的收益立刻可见：静态资源首屏进入秒级甚至百毫秒级、源站带宽腰斩、扫描与恶意流量被 WAF 挡在门外。它也是用户体验最「可见」的一次升级——用户看得到变快。
§ 01演进定位
动静分离是 Web 架构的铁律：静态资源（JS/CSS/图片/下载包）与动态请求的传输特征完全不同，混在一起只会互相拖累。CDN 把静态流量分摊到离用户最近的边缘节点，源站带宽与负载同时下降。
反向代理（Nginx/云网关）是源站的「前台」：TLS 统一终结、HTTP/2 与压缩、路由与灰度分流、限流熔断的第一道闸、以及访问日志的权威来源。它把原本散落在各应用节点的横切能力收拢到一层。
安全防护前置到门口是本阶段的隐藏价值：WAF 拦截常见攻击（注入、越权扫描）、频控拦截 CC 攻击、基础 DDoS 防御——源站的公网暴露面缩小到「只认 CDN 与网关」。
§ 02技术架构
边缘层：静态资源上 CDN，指纹化文件名（hash）+ 长缓存 + 主动刷新的组合；HTML 等可缓存路由设置短 TTL 与精准刷新策略。回源流量占比是本层的核心 KPI。
网关层：Nginx/云网关承接全部动态流量，TLS 统一终结与自动续期、按路由转发到应用集群（03 章）、按 IP 与接口维度限流、WAF 规则集开启拦截模式（先观察一周再切拦截）。
回源层：CDN 回源走统一回源域名与鉴权（防回源绕过），网关到应用走内网。全链路 HTTPS：边缘-网关-应用不留明文段，HSTS 打开。
§ 03实施路径
第一阶段（1 周）静态梳理：静态资源清单与指纹化改造、缓存策略矩阵（按文件类型定 TTL）、CDN 接入与灰度域名验证。
第二阶段（1 周）网关建设：反向代理部署、路由与 upstream 对接应用集群、限流阈值压测校准、TLS 统一与 HTTP/2 开启。
第三阶段（1 周）安全与观测：WAF 观察模式上线一周调规则后切拦截、回源鉴权、全链路日志归一（边缘日志 + 网关日志 + 应用日志可关联）。总周期 2-3 周。
§ 04客户价值与适用判断
该上：静态流量占比高、用户地域分散（尤其有海外访问）、或安全扫描/合规要求 WAF 与统一证书管理。
成本视角：CDN 流量费单价显著低于源站带宽，静态占比越高越省钱——这是少数「越用越便宜」的架构升级。网关层复用既有节点，几乎零新增。
顺序建议：可与 03-05 章任意穿插，但建议在 04 章多级缓存之后做，让边缘缓存与应用缓存形成完整分层，避免二次改造缓存策略。
§ D01组件与选型清单
DATACDN 与反向代理 · 标准组件栈门口三层
| 层级 | 组件 | 选型建议 | 职责与要点 |
|---|
| 边缘分发 | CDN | 国内 + 海外按需 | 静态与可缓存路由，回源率 < 10% |
| 安全防护 | WAF | 云 WAF · 拦截模式 | OWASP 常见攻击、CC 频控、Bot 识别 |
| 接入网关 | Nginx / 云网关 | 双节点主备 | TLS 终结、路由转发、限流、访问日志 |
| 证书 | 统一证书管理 | 自动续期 | 全链路 HTTPS，HSTS，SAN 统一管理 |
| 回源 | 回源域名 + 鉴权 | 仅认 CDN 回源 IP | 防止绕过 CDN 直连源站刷流量 |
| 压缩 | Gzip/Brotli | 文本类 Brotli | 带宽再省 20-30%，CPU 开销可忽略 |
文件指纹化（内容 hash 命名）是边缘缓存的前提：内容变更 = 文件名变更 = 天然失效。
§ D02成本测算数据集
DATA成本测算示例（在 04 章基础上增量 · 月度）月度 · CNY
| 项目 | 规格 | 月成本 | 说明 |
|---|
| CDN 流量 | 500GB/月 · 国内 | ≈ ¥90 | 静态全量分流 |
| WAF | 基础版 | ≈ ¥180 | 按域名计费，含 CC 防护 |
| 网关节点 | 复用应用节点或 2C4G × 2 | ≈ ¥0-260 | 小规模可与应用混部 |
| 证书 | 免费 DV / 泛域名付费 | ¥0-≈ ¥30 | 自动续期 |
| 带宽节省 | 源站带宽 -50% | -≈ ¥30 | CDN 抵扣 |
增量合计 ≈ ¥240-450/月 · 源站带宽减半
流量再上一个量级后 CDN 单价阶梯下降，静态占比高的业务在这一章开始「规模越大学得越便宜」。
§ D03关键指标基准
DATA可用性与体验基线SLO 参考
| 指标 | 05 章基线 | 本阶段目标 | 行业良好 |
|---|
| 静态资源首屏 | 1-3s（源站直出） | < 800ms（边缘命中） | < 300ms |
| CDN 回源率 | — | < 15% | < 5% |
| 源站带宽 | 100% 基线 | < 50% | < 30% |
| WAF 拦截准确率 | — | 误拦 < 0.1% | 近零误拦（人审兜底） |
| 证书管理 | 单证书手动 | 自动续期 · 零过期 | 全链路 + 透明轮换 |
§ D04演进触发信号
DATA什么时候必须走向下一阶段任一命中即评估
| 触发信号 | 判定阈值 | 演进方向 |
|---|
| 检索需求爆发 | 搜索/多维查询成为核心功能 | 搜索引擎与 NoSQL（07） |
| 应用间调用混乱 | 服务间 HTTP 直连、无治理 | 业务拆分服务化（08） |
| API 形态产品化 | 对外输出 OpenAPI | 微服务网关与治理（09） |
| 全球访问延迟投诉 | 海外 P95 > 3s | CDN 海外加速 + 多地域（10） |
| DDoS/CC 事件 | 月度安全事件 > 1 起 | WAF 高级版 + 高防 IP（本章） |
§ D05上线检查清单
指纹化完成全部静态资源内容 hash 命名，HTML 引用同步更新
缓存策略矩阵按类型定 TTL 并评审，刷新接口权限受控
回源鉴权CDN 回源带鉴权头，源站防火墙仅放行回源网段
WAF 先观察后拦截观察期 ≥ 7 天，误拦日志逐条回放后切拦截
限流压测校准网关限流阈值经压测验证，有降级而非硬 429
证书自动续期演练一次续期与紧急更换，监控证书到期日
§ D06高频翻车点
缓存了动态页登录态页面进 CDN 边缘缓存，用户看到别人的数据
刷新凭据滥用URL 刷新接口权限失控，被刷出天量回源账单
WAF 一上来就拦截规则未调优直接拦截模式，正常用户被误伤
网关单点反向代理单节点部署，网关故障即全站故障
证书链不完整只装叶证书漏了中间链，部分安卓客户端握手失败
§ D07常见问答
DATACDN 与反向代理 · 问答数据集4 组
| 问题 | 答案 |
|---|
| CDN 会不会影响 SEO？ | 正确配置下不影响甚至更好：边缘命中提升抓取速度与稳定性。注意 canonical 指向主域、CDN 域名加入搜索引擎验证即可。 |
| 动态接口能不能也走 CDN？ | 可缓存接口（如商品详情页片段）可以用短 TTL 边缘缓存 + 精准刷新；纯个性化接口必须直回源。判断标准与 04 章一致：一致性容忍度。 |
| WAF 误拦了正常业务怎么办？ | 先切回观察模式保业务，按拦截日志逐条放行误伤规则；高频误伤的业务特征（如富文本提交）做规则白名单。永远不要用「关掉 WAF」解决误拦。 |
| 网关和 03 章的负载均衡什么关系？ | CLB 做四层/七层流量分发（健康检查、摘除），反向代理/网关做应用层治理（路由、限流、TLS、日志）。小规模可以合一，规模上来后职责分离更清晰。 |
§ D8角色分工数据集
DATA角色分工数据集本阶段人员配置
| 角色 | 核心职责 | 投入度 | 备注 |
|---|
| 运维 | 网关 · 证书 · 回源鉴权 | 60% | 本阶段主责 |
| 后端 | 缓存策略矩阵 · 指纹化改造 | 40% | 与前端协作 |
| 安全（兼） | WAF 规则 · 观察期调优 | 30% | 误拦日报机制 |
| 前端 | 静态指纹引用改造 | 30% | 构建链路配合 |
§ D9风险登记册
DATA风险登记册概率 × 影响
| 风险 | 概率 | 影响 | 缓解措施 |
|---|
| 动态页被边缘缓存（串数据） | 低 | 致命 | 缓存策略矩阵评审 + 登录态路由直回源 |
| WAF 误拦正常用户 | 中 | 严重 | 观察期 ≥ 7 天 + 误拦日报 + 白名单 |
| 回源被绕过刷量 | 中 | 中 | 回源鉴权 + 源站防火墙白名单 |
| 刷新接口被滥用 | 低 | 中 | 权限收敛 + 配额 + 审计 |
§ D10监控告警清单
DATA监控告警清单阈值即责任
| 监控对象 | 指标 | 告警阈值 | 响应动作 |
|---|
| 边缘 | CDN 命中率 | < 85% | 工单 · 策略矩阵复核 |
| 回源 | 回源带宽 | 突增 50% | 电话 · 防刷与策略排查 |
| WAF | 误拦率 | > 0.1% | 工单 · 规则调优 |
| 网关 | 5xx 率 | > 0.5% | 短信 · 源站健康排查 |
| 证书 | 剩余有效期 | < 30 天 | 工单 · 续期流程 |
§ D12实施时间线
DATA实施时间线周为单位
| 周次 | 里程碑 | 责任角色 | 出口物 |
|---|
| W1 | 静态指纹化 | 前端 + 后端 | hash 命名 + 引用更新完成 |
| W2 | CDN 接入 | 运维 | 灰度域名验证 · 回源鉴权生效 |
| W3 | 网关与 WAF | 运维 + 安全 | TLS 统一 · 限流校准 · WAF 观察 |
| W4 | 全量切换 | 全员 | 主域切 CDN · 误拦日报启动 |
§ D13SLA 与容灾基线
DATASLA 与容灾基线对内承诺
| 指标 | 基线承诺 | 度量方式 | 未达标处置 |
|---|
| 静态首屏 | < 800ms | 边缘拨测 | 缓存策略与预热优化 |
| 回源率 | < 15% | CDN 统计 | 策略矩阵与 TTL 复核 |
| WAF 误拦 | < 0.1% | 拦截日志抽样 | 规则白名单机制 |
| 网关可用性 | 99.9% | 双节点拨测 | 主备切换演练 |
§ D14应急预案
DATA应急预案一页纸预案
| 故障场景 | 典型现象 | 处置步骤 | 升级路径 |
|---|
| CDN 故障 | 静态资源 404/超时 | ① DNS 临时切回源站 ② 联系厂商 ③ 恢复后切回 | 主域受累 → 立即执行预案 |
| WAF 误拦扩大 | 客服投诉集中 | ① 切观察模式 ② 放行误伤规则 ③ 复盘调优 | 支付/登录受累 → 立即 |
| 证书链异常 | 部分客户端握手失败 | ① 补全中间链 ② 全端回归 ③ 修复自动续期 | 影响交易 → 立即 |
| 网关单点故障 | 动态请求超时 | ① 主备切换 ② 定位根因 ③ 恢复冗余 | 双节点同挂 → 云工单 P1 |
§ D15首年成本明细
DATA首年成本明细CNY
| 项目 | 月成本 | 年成本 | 备注 |
|---|
| CDN 流量 500GB | ≈ ¥90 | ≈ ¥1,080 | 阶梯单价随量下降 |
| WAF 基础版 | ≈ ¥180 | ≈ ¥2,160 | 按域名 |
| 网关节点 × 2 | ≈ ¥260 | ≈ ¥3,120 | 独立部署口径 |
| 带宽节省 | -≈ ¥30 | -≈ ¥360 | 源站抵扣 |
首年增量 ≈ ¥6,000。流量越大、静态占比越高，本章的规模收益越显著。
§ D16团队能力要求
DATA团队能力要求按需补齐
| 能力项 | 要求级别 | 如何补齐 |
|---|
| CDN 与缓存策略 | 必须 | 策略矩阵评审 + 灰度实操 |
| Nginx 网关运维 | 必须 | 配置模板化 + 主备切换演练 |
| WAF 运营 | 建议 | 误拦日报机制运转 |
| 证书全链管理 | 建议 | 续期与紧急更换演练 |
§ D17关键决策速查（ADR）
DATA关键决策速查（ADR）本阶段 4 个决策
| 决策 | 备选方案 | 结论理由 |
|---|
| CDN 厂商 | 多厂商叠加 vs 单厂商 | 单厂商先跑通，避免多源复杂度 |
| 网关形态 | Nginx 自建 vs 云网关 | 自建可审计；云网关换省心 |
| WAF 模式 | 直接拦截 vs 观察先行 | 观察 ≥ 7 天再拦截 |
| 证书策略 | 单证书 vs 泛域名 | 泛域名 + 自动续期 |
§ D18高频面试题
DATA高频面试题本阶段 4 题
| 问题 | 考察点 | 优秀回答特征 |
|---|
| 动静分离怎么划分边界？ | 架构设计 | 缓存策略矩阵 + 登录态直回源 |
| WAF 误拦如何治理？ | 安全运营 | 观察期+误拦日报+白名单闭环 |
| 回源绕过怎么防？ | 安全意识 | 回源鉴权 + 防火墙白名单 |
| CDN 刷新风暴怎么防？ | 成本意识 | 权限收敛+配额+审计 |
§ D19命令与操作速查
DATA命令与操作速查网关运维
| 场景 | 命令/操作 | 说明 |
|---|
| 缓存命中验证 | curl -I 看 X-Cache 头 | 命中状态一目了然 |
| 回源排查 | 刷新日志 + 回源率看板 | 突增先查刷控行为 |
| 证书链检查 | openssl s_client | 补全中间链 |
| 限流验证 | 压测触发 429/降级 | 阈值与降级联动 |
§ D20采购与商务要点
DATA采购与商务要点本阶段采购项
| 采购项 | 询价要点 | 商务注意 |
|---|
| CDN 合同 | 阶梯单价 + 跨境流量单独计价 | 95 峰值计费 vs 月流量 |
| WAF | 按域名/按 QPS 两种计费 | 高级版规则差异问清 |
| 商业证书 | 担保等级与 SAN 数量 | 续期价格锁定 |
§ D21阶段 KPI 卡
DATA阶段 KPI 卡验收口径
| KPI | 口径 | 目标 |
|---|
| 静态首屏 | 边缘拨测 | < 800ms |
| 回源率 | CDN 统计 | < 15% |
| 误拦率 | 日志抽样 | < 0.1% |
| 网关可用性 | 双节点拨测 | 99.9% |
§ D22交接清单
DATA交接清单换人不换知识
| 交接项 | 载体 | 验收 |
|---|
| 缓存策略矩阵 | Wiki | 按文件类型可查 |
| Nginx 配置模板 | Git | 配置可重建可审计 |
| WAF 规则台账 | Wiki | 白名单有审批记录 |
| 证书台账 | 监控平台 | 到期前 30 天自动告警 |
§ D23演进检查点评审
DATA演进检查点评审走向 07 章前
| 检查项 | 达标标准 | 结果 |
|---|
| 回源率达标 | < 15% | 通过/不通过 |
| WAF 调优完成 | 误拦率 < 0.1% | 通过/不通过 |
| 回源鉴权生效 | 源站仅接受回源网段 | 通过/不通过 |
| 证书自动续期 | 续期演练一次成功 | 通过/不通过 |