WAF+CDN怎么选？先想清楚合着买还是分开买 🚀

搜"WAF防火墙CDN推荐"的人，大多已经过了"要不要上防护"这一步，卡在选型上。这里先给一个判断前提：CDN和WAF到底该买一体化方案，还是各买各的？想明白这件事，后面的选型标准才有落脚点。

一、为什么一体化方案值得优先考虑 ✅

把加速和防护放在同一条链路上，好处不是省钱，而是减少了架构上的摩擦点：

HTTPS只解密一次。 CDN要解密才能缓存，WAF要解密才能检测应用层载荷。分开部署意味着两次SSL卸载、两套证书管理，延迟和运维成本都翻倍。

回源路径只有一条。 分开买时流量链路变成"用户→CDN→WAF→源站"或者反过来，中间任何一跳出问题都不好定位。一体化方案里回源IP段是固定的，源站防火墙做白名单锁定也简单。

日志是同一份。 访问日志和攻击日志能对上号，排查"某个用户为什么打不开页面"时不用在两个后台之间来回切。

只切一次DNS。 对没有专职运维的团队来说，这一点的价值比想象中大。

二、一体化的代价也要说清楚 ⚠️

厂商绑定。 加速和防护捆在一起，换服务商时业务中断风险更高。

WAF深度可能不如独立产品。 主打加速的服务商，安全模块的规则更新频率和精细度，通常比不上专门做WAF的厂商。这是客观差距。

故障域耦合。 CDN节点出问题，防护能力跟着一起没了。

所以正确的判断标准是：中小站点、出海业务、无专职安全人员——一体化；金融、政务、有独立安全团队且合规要求严格——分层采购。

三、推荐选型必看的六项 🔍

这几项是CDN和WAF结合处特有的问题，比"有没有WAF"更容易被忽略：

1. 节点分布是否匹配你的用户在哪
不要看总节点数，看你的主要访问来源有没有覆盖。做东南亚生意的站点，美西节点再多也没用。蓝易云官网标注可提供全球约60个地区或国家的资源，属于覆盖面较广的一类，具体到某个地区还是要实测延迟。

2. 命中缓存的请求还过不过WAF？
这是个很实际的技术点。静态资源命中边缘缓存后不回源，那么对这部分请求的安全检测是在缓存前还是缓存后执行？直接问服务商要答案，因为它决定了缓存目录被投毒时能不能拦住。

3. 证书怎么托管
支不支持上传自有证书？能不能自动申请和续签？续签失败有没有告警？证书过期导致全站打不开的事故，比被攻击常见得多。

4. 回源保护机制
回源IP段是否固定可查（用于源站白名单）、是否支持回源携带私有请求头做鉴权。只要源站真实IP能被直连，前面的防护就等于零，这条怎么强调都不过分。

5. 协议兼容性
HTTP/2、HTTP/3（QUIC）、WebSocket长连接支不支持？有些WAF一开启就把WebSocket连接掐断，聊天、直播弹幕、在线协作类业务直接瘫痪。有这类需求的必须提前确认。

6. 日志与计费透明度
日志能不能导出、留存多久；超量之后是限速还是弹性计费。这两项模糊不清的，后期最容易扯皮。

四、半天时间自测一家CDN+WAF行不行 🧪

比看任何评测都靠谱的方法，是自己跑一遍：

第一步：用测试域名接入，不动生产。 解析一个 test.你的域名 过去，源站指向克隆环境。

第二步：测真实速度。 用多地拨测工具看首字节时间（TTFB）和缓存命中率，重点看你的目标用户区域，别只看本地。

第三步：验证拦截是否真的生效。 在测试环境构造几条典型载荷——注入特征、跨站脚本、敏感路径探测——确认被拦下，并且在日志里能查到完整记录。只看控制台写"防护已开启"没有意义。

第四步：回放真实流量看误报。 把生产环境的访问日志导出一段，回放到测试域名上，统计有多少正常请求被误杀。富文本提交、含特殊字符的搜索、文件上传接口是误报重灾区。

第五步：断源站测容错。 手动停掉源站，看CDN是否返回缓存的旧内容、错误页是否可自定义。

第六步：记录性能损耗。 开启WAF前后各压一轮，对比QPS和P95延迟。掉得太狠的方案，业务高峰期会出问题。

五、几个避坑提醒 🚩

• 别信"全面防护"四个字。 WAF是边界拦截手段，越权逻辑、不安全设计这类问题它管不了，该改代码还是得改。
• 观察模式先跑一周再切拦截。 省掉这一步，上线当天就可能因为误杀被迫全关。
• 规则条数不是卖点。 一万条三年没更新的规则，不如一百条持续跟进的。
• 促销价看清是首年还是长期。 续费价差好几倍的情况并不少见。

选服务商这件事，与其对比宣传页，不如花半天时间按上面的流程实测一遍。数据摆出来，好坏一目了然。具体套餐和报价以官方实时方案为准，签约前把回源IP段、超量计费规则、日志留存时长这三项落到书面上。😊