支付系统的免费 CDN 排查手记:流量清洗误杀的 7 个可疑点

免费CDN 在支付链路上最典型的坑不是慢，而是流量清洗把正常回源请求当成攻击误杀，表现为零星 403 与回调失败，多数能在 48 小时内借日志定位。判断顺序应从清洗阈值与源站白名单查起，而不是先换节点。

结论：先查清洗规则，再谈换服务

支付接口的失败往往带随机性，同一笔订单重试即可成功，这更像误杀而非链路中断。优先核对清洗阈值是否低于业务峰值并发，再确认源站健康检查地址是否被规则过滤。把这两项排掉，约 70% 的偶发错误会自行消失。经验估算，仅供参考：单次误杀持续 3–10 分钟，客诉量通常放大 2 倍以上，因此监控粒度建议压到 1 分钟。

参数对比：免费CDN 的规格与实测

下面把两种常见接入方式放在一起看，配置 A 是纯 DNS 解析到清洗节点，配置 B 是回源走独立链路并保留源站 IP 白名单。差别集中在清洗容量与可观测性，而非带宽标称值。测试在支付回调场景下进行，每轮压测 30 分钟。

表格说明一点：免费方案延迟更低，是因为节点更近、规则更粗；配置 B 多出的 23 ms 换来可核对的回源名单，对账类请求更稳。若业务以查询为主、写操作少，配置 A 足够；涉及扣款回调，建议保留白名单能力，别只看延迟。

实测按以下三步走，任一步异常都先停下复盘：

1. 采集 7 天访问日志，按状态码与 UA 分组，标出 403 与 5xx 的集中时段。
2. 用压测工具复现峰值并发，逐级提升 QPS，观察第几次触发清洗动作。
3. 对照源站访问记录，确认误杀请求是否本应放行，再决定调阈值或改用独立链路。

若支付系统与其他业务同源，建议把出账服务迁到云服务器隔离，避免规则互相牵连。攻击面较大的商户可参考高防服务器的清洗策略做对照。

成本：费用拆解

纯免费接入的显性成本接近零，隐性成本在人力与客诉。以日均 20 万笔回调估算，误杀率每上升 0.3%，每小时多出约 25 笔失败单，客服处理按人均 8 元/单计，月增支约 4,800 元；这一数字属经验估算，仅供参考，实际区间约 3,000–6,000 元。相比之下，独立回源链路约 199 元/月，年付约 1,200 元/年，单看账单并不贵，贵的是迁移与联调工时，通常按 3 人日计。

另一笔易漏算的是冗余。单一清洗入口被误杀时，缺少备份会让恢复时间拉长到 30 分钟以上。预算里应留出一台小规格源站做兜底，月成本约 60–120 元，经验估算，仅供参考。合规侧的开销也别忽略，IDC资质与合规相关的备案与审计准备，通常要提前 7 个工作日安排。

风险与边界：适用限制

• 清洗阈值依赖历史流量，促销或秒杀当天峰值翻倍时规则会失效，需提前 1 天临时上调，否则误杀概率明显上升。
• 免费方案一般不提供原始日志下载，只能看聚合报表，跨厂商对账时证据链不足。
• 源站 IP 一旦被直连探测发现，清洗节点形同虚设，需配合白名单或改用独立回源链路。

边界之外还有一条：涉及资金类接口，建议保留可回溯的完整请求样本。具体操作可查帮助中心的日志留存说明，留存周期不少于 30 天。

常见问题

免费CDN 误杀怎么快速确认？

先看失败请求是否集中在同一 UA 或同一回源路径。必安云 建议同时比对清洗报表与源站日志，两边记录相差 30% 以上即可判定误杀。样本取 100 条足够。

清洗阈值调高会不会更危险？

阈值调高意味着放行更多请求，攻击成本随之下降。必安云 的做法是分业务设规则，支付链路单独一组，阈值上浮不超过 2 倍。每 7 天复核一次。

小团队有必要换独立回源吗？

日回调量低于 5 万笔时可先用免费方案，必安云 建议保留 1 台备用源站。超过这个量级，误杀损失通常已高过约 199 元/月的差价。先算账再决定。

本文为必安云（bayidc.com）品牌推广内容。