对象存储与
CDN 协同访问时，用户请求通常先到边缘节点，由
缓存决定直接响应还是回源读取。系统因此存在多个域名、策略和
数据副本：
CDN 访问域名、源站域名、对象存储默认端点、签名地址及缓存内容。只要其中一条旧路径仍可绕过预期授权，或缓存键未区分用户，源站权限收紧也可能无法实现预期的访问控制。
一、描述完整访问路径
先画出客户端到边缘节点、边缘节点到源站、应用到对象存储的请求流。标注每段使用的域名、TLS 证书、身份凭证、签名位置、对象路径、缓存策略和日志位置。还应盘点默认存储端点、历史测试域名、备用 DNS 记录和应用直连代码。域名隐藏只能减少暴露，不能替代源站授权。
将内容分为公开静态对象、私有用户对象和暂存上传对象，尽量使用可辨识的域名或路径边界。公开缩略图可以允许边缘读取，用户合同和个人文件则应采用明确的用户授权流程；待扫描内容不应通过发布域名访问。对于每类对象指定其真实访问主体和源站角色，避免 CDN 回源身份兼有上传、删除和整桶列举权限。
🔎 二、限制源站并保留正常回源能力
源站应验证访问者是预期 CDN 或受信任服务身份，可通过资源策略、回源签名、专用身份或适合的网络限制完成。具体机制取决于服务能力，验收目标是：未授权直接访问默认端点失败，CDN 缓存未命中时仍可按最小权限回源。收紧源站前后都要测试未命中请求，因为缓存命中会使源站完全不参与请求。
回源授权要与内容范围相符。公开内容读取身份不应写入对象；私有内容需要用户授权或签名限制；上传暂存区应使用独立写入能力。若用自定义请求头传递回源秘密，源站必须验证该头，边缘端也应避免将其发给客户端或记录到普通访问日志。轮换凭证后同时验证新旧身份的有效性与拒绝结果。
🧭 三、缓存键与内容权限必须一致
缓存键可能由路径、查询参数、请求头和 Cookie 组成。若用户权限通过签名参数、授权头或 Cookie 表达，确认 CDN 是否先验证访问，再将授权差异纳入缓存隔离，或干脆不对私有响应共享缓存。忽略签名参数的缓存规则可能让不同用户共用响应；把每个无关请求头都纳入缓存键则会降低命中率并增加缓存碎片，故应按认证机制精确选择。
公开静态对象可采用较长缓存并使用版本化路径或明确刷新流程。稳定 URL 内容被覆盖后，源站已更新但边缘仍可能返回旧内容。对于私有对象，缓存驻留时间不能超过业务可接受的撤销窗口；若业务要求立即撤销，不能依赖长寿命共享缓存。权限撤销时需识别缓存副本的剩余有效时间和刷新传播状态。
📊 用请求证据拆分问题层
对每次问题记录 CDN 请求标识、命中状态、回源状态、响应码、目标主机、对象键和策略版本。CDN 403而源站测试成功，重点查边缘签名、WAF、路径匹配和请求头转发；源站 403而 CDN 命中仍成功，先判断是否由旧缓存遮住回源故障；更新后仍显示旧内容则检查 TTL、缓存键和刷新结果。浏览器响应成功不能说明源站可用，更不能说明用户授权正确。
✅ 四、按命中与未命中路径验收
准备公开与私有测试对象。分别从 CDN 域名、源站测试入口、应用下载接口和默认存储端点发起请求。公开对象在 CDN 可读取，直连源站按设计拒绝；私有对象只对授权用户成功，匿名及其他用户失败。通过重复请求形成缓存命中，再令测试对象过期或刷新后验证未命中回源。权限撤销后，在业务约定的窗口内检查边缘响应不再泄露私有内容。
只读请求头检查可以辅助诊断：
curl -I https://cdn.example.invalid/public/test.bin
curl -I https://origin.example.invalid/private/test.bin
示例使用虚构保留域名；实际请求不要将签名参数、Cookie 或长期凭据写入共享终端记录。响应头只是初步证据，仍需对照边缘日志与源站审计，确认源站看到的身份、对象键和请求结果。
📌 五、同时验收体验与边界
除了正反向请求结果，还应监控缓存命中率、回源错误率、源站 403、边缘 403、回源延迟、对象刷新后旧版本出现时长和权限撤销后的可访问时长。公开资源的命中率下降可能是缓存键过度细分；私有内容命中率异常上升则需要排查是否误共享。安全与性能指标需按内容类别观察，不宜合并成一个整体比率。
可靠的协同方案要让用户域名、缓存规则和源站授权表达同一份内容分类与访问意图。常见误区是只看 CDN 页面、认为源站域名没人知道、用刷新缓存替代源站权限，或假设授权头会自动参与缓存隔离。域名、证书、缓存键、签名规则和对象策略变更后，保存回归用例与日志证据，确认命中、未命中、过期和撤销路径都符合业务定义。
