源站只依赖公网IP、域名解析或简单的来源判断时，攻击者很容易通过修改请求头、直连源站或批量重放URL进行扫描。攻击流量一旦绕过CDN，源站既可能暴露真实地址，也会承担突发带宽、接口滥用和恶意请求带来的成本，回源鉴权因此不能只靠隐藏域名。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：vollcloud（原生IP精品线路），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、让CDN与反向代理先完成身份协商
回源鉴权的基本原理，是在CDN向反向代理发起请求时，额外携带一组只有双方知道的凭据。常用的共享密钥可以参与签名计算，代理收到请求后再独立验证。这样即使攻击者知道回源地址，也不能仅凭构造普通请求访问业务接口。
仅有固定请求头还不够，因为请求头可以被复制。更稳妥的做法是同时加入时间戳、随机字符串和请求路径，让CDN生成短时有效的签名。代理应校验时间戳是否落在允许窗口内，再按约定算法重新计算签名，并比对请求头中的标识、摘要和过期时间。密钥只保存在CDN与代理两端，不写入前端页面、日志或公开仓库。
反向代理还应限制回源来源。可以在代理侧校验CDN节点地址、专用回源域名或固定入口，避免其他来源直接使用自己的接口。配置时先在测试环境验证路径大小写、查询参数和重定向规则，尤其是签名覆盖范围要明确，否则CDN判定有效，代理却可能因规范化差异拒绝请求。
二、用可验证的规则判断鉴权是否真正生效
判断配置是否有效，不能只看正常访问是否成功。应分别模拟正常CDN回源、缺少请求头、修改时间戳、篡改签名、复用旧请求和直连源站等场景。只有合法请求能通过，而缺少凭据或凭据不一致的请求稳定返回拒绝状态，才说明鉴权链路形成了闭环。日志中建议记录拒绝原因、请求路径和时间，不要记录完整密钥或可复用的签名。
密钥管理要支持共享密钥轮换。可先在CDN与代理两端同时启用新旧两把密钥，经过一段时间确认新密钥流量稳定后，再撤销旧密钥。若直接删除旧密钥，恰逢CDN节点缓存配置或部分区域回源，就可能出现间歇性失败。轮换期间应设置明确的生效时间，并观察拒绝量、响应码和回源延迟，避免把配置问题误判为业务故障。
时间戳签名还必须配合防重放机制。时间窗过宽会扩大重放风险，过窄则容易因节点时钟偏差造成误拒。可以使用较短窗口，同时保存已消费随机数或签名摘要，在有效期内拒绝重复请求。CDN节点、代理服务器和业务主机都应使用可靠时间同步。
实际排查时，最常见的踩坑包括只在CDN侧签名、代理侧没有校验，签名未覆盖查询参数，以及把时间戳当成唯一凭据。部署完成后，还要确认代理访问日志、错误页面和监控告警没有泄露源站细节。对于需要在多台机器上快速部署反向代理的场景，随身服务器可用来集中管理配置模板与轮换记录，但真正的安全边界仍应放在CDN和源站之间的双向校验上。
回源校验链路与防重放机制
回源鉴权的本质是让源站确认请求来自持有共享密钥的 CDN，同时校验内容完整性与时效性。CDN 应把回源方法、规范化路径、查询参数、时间戳、随机数以及可选的请求体摘要纳入 HMAC，再通过请求头发送签名和密钥版本号。源站必须使用完全一致的字段顺序、编码和查询串规则重新计算，并用恒定时间函数比较；仅校验固定 Token 无法识别篡改，也不能阻止旧请求重放。
时间戳签名需要配合防重放机制。源站先检查时间戳是否落在允许的正负几分钟窗口内，再以“密钥版本＋随机数”为键写入短期缓存；窗口内重复出现同一随机数便拒绝。多节点必须共享 Redis 等记录，且随机数长度足够、不可预测。缓存保留时间应略大于时间窗口，清理失败时要监控容量，避免过期记录被提前删除。
请求头校验前应清除客户端自带的所有鉴权字段，只接受由受信 CDN 网关重新注入的签名、时间戳、随机数和密钥版本。若请求体参与签名，还要固定摘要算法、字符编码、压缩与分块规则，否则 gzip、表单重编码或流式上传会造成摘要不一致。尤其不要把网关注入的所有转发头都纳入签名，因为部分 CDN 会自动追加字段，最终应以实际回源抓包结果确定签名范围。
密钥轮换与上线检查清单
共享密钥轮换不能直接删除旧值。应先让源站同时接受新旧两个版本，并通过密钥版本号指定验签密钥；随后让 CDN 切换到新密钥，观察旧密钥流量归零后再撤销。轮换期间应限制操作权限、记录变更时间，并准备立即吊销流程。若使用集中式密钥管理系统，还需确认 CDN 节点获取密钥失败时不会退化为无鉴权回源。
可执行检查清单：①在 CDN 控制台启用回源鉴权，创建新密钥并仅存入密钥管理系统；②用测试源站确认收到预期请求头，客户端伪造同名头已被覆盖；③分别验证正确签名、错误签名、过期时间戳、重复随机数、路径篡改和查询参数篡改均得到拒绝；④检查 CDN 与源站 NTP 同步、时差告警和随机数缓存 TTL；⑤轮换时先让源站接受新旧两个版本，再由 CDN 切换新密钥，确认旧密钥无流量后撤销；⑥配置鉴权失败日志、告警、密钥版本统计，并定期执行轮换演练。
上线后应以失败率、时钟偏差和回源命中率为基线持续观测。共享密钥应做到最小暴露、定期轮换和紧急吊销；只有请求头校验、时间戳限制与一次性随机数三层机制同时生效，回源链路才具备可靠的抗伪造与防重放能力。
喜欢 
顶
难过
囧
围观
无聊
