阿里云CDN对接使用完全指南：从入门配置到API自动化运维

1. CDN加速原理解析

内容分发网络（Content Delivery Network，CDN）是建立并覆盖在承载网之上、由分布在不同区域的边缘服务器组成的分布式网络。当终端用户通过浏览器输入一个URL访问资源时，浏览器首先需要向DNS服务器查询该域名对应的IP地址，然后通过该IP地址找到源站服务器并获取资源。然而，随着访问请求数量的不断增加，受制于源站服务器配置、网络带宽以及地理距离等多重因素，用户的访问速度会逐渐变慢。

阿里云CDN的加速原理正是在这个请求链路中引入一个庞大的分布式缓存系统。CDN部署在源站服务器和终端用户之间，当用户发起请求并到达CDN边缘节点时，系统会优先查询该节点是否已缓存了请求的资源。如果缓存命中，CDN节点直接返回缓存的资源给用户，整个过程无需回源站获取数据；如果缓存未命中，CDN节点会向源站发起回源请求，获取资源后返回给用户，同时将资源缓存到本地节点，供后续相同资源的请求直接命中。阿里云CDN对源站服务器没有任何侵入性，也无需修改任何业务代码。

阿里云CDN在全球拥有超过3200个节点，全网带宽输出能力达180 Tbps。其中中国内地拥有2300多个节点，覆盖31个省级区域。这样庞大的节点网络确保了用户能够就近接入同运营商的CDN节点，从而解决长距离接入和跨运营商访问导致的延迟问题。

需要先登录阿里云控制台，点击：阿里云控制台

2. 开通CDN服务与准备工作

在正式接入阿里云CDN之前，需要完成以下准备工作：拥有一个已完成实名认证的阿里云账号；在阿里云账号中开通CDN服务。开通路径为：登录阿里云控制台，在产品列表中找到“内容分发网络CDN”，按页面提示完成开通操作。开通服务本身不产生费用，CDN采用按量付费模式，仅在实际使用流量时产生费用。

源站是CDN加速的起点，也是CDN节点回源获取资源的最终来源。源站可以是部署在ECS上的业务服务器、OSS存储空间，也可以是其他云服务商或自建机房的服务器。如果还没有源站，需要先完成源站的搭建。加速域名是终端用户实际访问的域名，也是接入CDN后需要配置的核心资源。需要注意的是，当加速区域选择“仅中国内地”或“全球”时，加速域名必须完成ICP备案。如果域名尚未备案，可以登录阿里云ICP代备案管理系统完成备案流程。由于工信部备案系统存在数据延迟，刚完成备案的域名建议等待8小时后再配置CDN。

3. 添加加速域名与配置源站

添加加速域名是接入CDN的核心步骤，操作路径为：登录CDN控制台，在左侧导航栏单击“域名管理”，然后单击“添加域名”按钮。在域名信息配置页面，需要填写以下关键参数：

加速区域：可选“仅中国内地”、“全球”和“全球（不包含中国内地）”三种。选择“仅中国内地”时，所有用户访问均调度至中国内地就近节点；选择“全球”时，所有用户访问择优调度至全球就近节点；选择“全球（不包含中国内地）”时，中国内地用户访问会被调度至日本、新加坡和中国香港的CDN节点。不同加速区域的价格不同，需根据实际业务需求选择。

加速域名：填写需要加速的域名，可以是主域名（如example.com）或自定义的子域名（如cdn.example.com）。首次在CDN控制台添加新域名时，需要完成域名归属权验证。业务类型：根据加速内容的特征选择对应的业务类型。“图片小文件”适用于电商类、网站类、游戏图片类等小型静态资源加速场景；“大文件下载”适用于大于20MB的静态文件加速场景。

源站信息配置是添加域名过程中的关键环节。单击“新增源站信息”，根据源站类型选择对应的源站信息。如果源站是OSS Bucket，选择“OSS域名”并选择目标Bucket域名；如果源站是ECS服务器或自建机房，选择“IP”或“域名”并填写对应的源站地址。完成上述配置后单击“下一步”，CDN加速域名即添加完成。

4. 配置CNAME解析——启用CDN服务的最后一步

添加加速域名后，阿里云CDN会为加速域名分配一个对应的CNAME域名。CNAME域名是CDN生成的、格式类似“*.*kunlun*.com”的域名。配置CNAME解析是将加速域名的DNS解析记录指向CDN分配的CNAME域名，这是启用CDN服务的最后一步。只有完成CNAME配置，用户的访问请求才会被引导至CDN网络。

CNAME的工作原理基于DNS的别名机制：将一个域名映射到另一个域名。用户访问加速域名时，本地DNS解析器向公共DNS系统查询该域名的IP地址；DNS系统发现该域名为CNAME记录，指向CDN分配的CNAME域名；DNS系统继续查询CNAME域名的A记录；CDN的DNS调度系统根据用户的地理位置、网络状况和节点负载，动态返回一个最优CDN边缘节点的IP地址。用户最终通过该IP地址与CDN边缘节点建立连接并获取内容。

CNAME配置的具体操作步骤如下：

步骤一：获取CNAME记录值。前往CDN控制台的“域名管理”列表，复制加速域名对应的CNAME记录值。如果刚添加域名后CNAME地址为空，请等待1至5分钟后刷新页面。

步骤二：配置CNAME解析。登录域名所在的DNS服务商控制台（若使用阿里云DNS，前往云解析DNS控制台），在目标域名的解析设置中单击“添加记录”。记录类型选择CNAME；主机记录填写@（代表主域名）或子域名前缀（如cdn），需与CDN加速域名保持一致；记录值填写步骤一中获取的CNAME值。单击确定完成添加。

注意事项：对于同一个主机记录，CNAME记录与A、AAAA、MX、TXT等多种记录类型互斥。在添加CNAME记录前，必须删除该主机记录下已存在的冲突记录。如果加速域名在配置CDN之前正在线上使用，为避免业务中断，建议先通过模拟访问测试验证CNAME记录是否正常映射，验证通过后对原记录进行备份，并在业务低峰期将原记录替换为CNAME记录。DNS解析的生效时间取决于记录TTL值设置，完全生效通常需要几分钟到几小时。

5. 缓存策略配置

缓存策略是CDN加速效果的核心影响因素之一。通过配置缓存过期时间规则，可以精细化控制CDN边缘节点的资源缓存时长，从而在内容更新频率、用户访问性能与回源成本之间取得平衡。

缓存过期时间的配置路径为：登录CDN控制台，在“域名管理”页面找到目标域名并单击“管理”，在左侧导航栏单击“缓存配置”，在“缓存过期时间”页签下单击“添加”。配置缓存规则时需要指定以下要素：缓存类型（支持文件后缀名、目录路径、首页全路径等多种匹配方式）、缓存时间（单位为秒）以及优先级（多条规则同时匹配时，优先级高的规则生效）。

在制定缓存策略时，建议遵循以下最佳实践：静态资源如图片、CSS、JS等文件的更新频率较低，可以设置较长的缓存时间（如7天或30天），以最大化缓存命中率并减少回源流量；动态内容或频繁更新的API接口应设置较短的缓存时间甚至不缓存，以确保用户获取到最新数据；对于版本化资源（如带哈希值的文件名），可以设置更长的缓存时间，因为文件内容变化时文件名也会变化，不会产生缓存过期问题。

缓存命中率是衡量CDN加速效果的核心指标。缓存命中率越高，意味着越多的请求由CDN边缘节点直接响应，无需回源站获取数据，从而降低源站压力、减少回源流量费用并提升用户访问速度。合理的缓存策略配置是提升缓存命中率最直接有效的手段。

6. 刷新与预热机制

刷新和预热是CDN缓存管理的两个重要操作，它们的作用方向相反但同样重要。

刷新操作是向CDN边缘节点下发缓存失效指令，将已缓存的资源标记为过期。当用户再次请求该资源时，CDN节点会回源站获取最新资源并返回给用户，同时重新缓存。刷新适用于源站资源更新和发布、违规资源清理、域名配置变更等场景。刷新会降低缓存命中率，因为缓存被标记失效后需要重新回源获取。

预热操作是由CDN边缘节点根据提交的URL列表，主动向源站发起请求，将资源提前缓存到边缘节点上。用户首次请求时可以直接从CDN节点获取资源，无需回源。预热适用于首次接入CDN后的热点资源预加载、大型运营活动前的资源准备、新版本安装包发布前的预分发等场景。预热会提高缓存命中率。

刷新与预热的操作顺序需根据场景灵活处理：当源站资源更新需要更新CDN节点缓存时，建议先执行刷新操作删除旧缓存，再执行预热操作将最新内容缓存到CDN节点。首次接入CDN时，若节点无缓存，可直接执行预热操作。

刷新预热操作需输入加速域名下的URL，而非源站的原始URL。CDN系统通过加速域名识别和管理缓存资源。刷新任务提交后大约5至6分钟在全网生效；预热任务的生效时间取决于文件大小和数量，通常需要5至30分钟。阿里云CDN不支持直接刷新整个泛域名下的所有缓存内容，需要对具体子域名的目录或特定URL路径分别提交刷新请求。

7. 回源配置详解

回源配置决定了CDN边缘节点在缓存未命中时如何从源站获取资源。回源协议是指CDN节点回源站请求资源时使用的协议。配置回源协议后，CDN节点将根据指定的协议回源到源站请求资源。

回源协议有三种模式可供选择：HTTP模式——CDN节点固定使用HTTP协议回源到源站；HTTPS模式——CDN节点固定使用HTTPS协议回源到源站；跟随模式——用户使用HTTP协议访问CDN时，CDN节点使用HTTP协议回源；用户使用HTTPS协议访问CDN时，CDN节点使用HTTPS协议回源。

HTTPS回源能保证信息在传输过程中不被窃取或篡改，但加密处理会额外消耗源站服务器的处理器资源。如果仅需要对敏感数据采用HTTPS协议传输，而对非敏感数据采用HTTP协议传输，建议配置回源协议为“跟随”模式。

在配置HTTPS回源时，还需注意回源Host与回源SNI的关联配置。在源站存在多域名监听的场景下（如一台服务器上部署了多个HTTPS站点），CDN节点发起HTTPS回源请求时需要正确的Host头部和SNI值来路由到目标站点。回源Host决定CDN回源时HTTP请求中的Host头部值；回源SNI决定CDN回源时TLS握手中发送的服务器名称指示。建议在配置HTTPS回源时，将回源Host和回源SNI均设置为加速域名或源站域名，避免因配置不正确导致Bad Request、502错误或回源失败。

回源协议配置的操作路径为：在CDN控制台的“域名管理”页面找到目标域名并单击“管理”，在左侧导航栏单击“回源配置”，在“回源协议”区域打开开关并选择协议类型。如果源站使用非标准端口监听HTTP或HTTPS服务，可在对应的端口输入框中填写源站实际监听的自定义端口号。需要注意的是，回源协议必须与源站实际监听的协议保持一致。

8. HTTPS安全加速配置

为CDN加速域名配置HTTPS证书，能够加密客户端与CDN节点之间的通信链路，防止数据在公网传输中被窃取或篡改，有效提升业务安全性。HTTPS配置的操作路径为：在CDN控制台的“域名管理”页面找到目标域名并单击“管理”，在左侧导航栏单击“HTTPS配置”，在“HTTPS证书”区域单击“修改配置”。

证书来源有三种选择：如果在阿里云数字证书管理服务中购买了证书，选择“云盾（SSL）证书中心”并在“证书名称”中选择已购买的证书；如果使用的是第三方服务商签发的证书，选择“自定义上传（证书+私钥）”，上传证书公钥和私钥；如果暂时没有证书，可以选择“免费证书”由阿里云自动签发免费的DV证书。需要注意的是，如果选择“云盾（SSL）证书中心”但无法选择已购买的证书，请检查已购买证书绑定的域名和加速域名是否相同。

自定义上传证书时，证书私钥必须是无密码保护的。配置HTTPS后，还可以开启HTTP/2和HSTS（HTTP严格传输安全）等高级功能，进一步提升安全性和传输效率。在OSS+CDN的纯静态托管架构中，只需在CDN上部署HTTPS证书即可实现全链路HTTPS加密。

9. 通过Python SDK管理CDN资源

阿里云CDN提供了多种编程语言的SDK，支持Java、Python、.NET等。通过SDK可以实现对CDN资源的程序化管理，包括刷新缓存、预热缓存、查询刷新预热状态、查询流量数据和带宽、下载域名日志等操作。

以下是使用Python SDK进行刷新预热操作的具体示例：

# -*- coding: utf-8 -*-
import json
from aliyunsdkcore.client import AcsClient
from aliyunsdkcdn.request.v20180510 import RefreshObjectCachesRequest
from aliyunsdkcdn.request.v20180510 import PushObjectCacheRequest

# 初始化客户端
client = AcsClient(
    'your-access-key-id',
    'your-access-key-secret',
    'cn-hangzhou'
)

def refresh_urls(urls):
    \"\"\"刷新指定的URL列表\"\"\"
    request = RefreshObjectCachesRequest.RefreshObjectCachesRequest()
    request.set_ObjectPath('\\n'.join(urls))
    request.set_ObjectType('File')
    request.set_accept_format('json')
    response = client.do_action_with_exception(request)
    return json.loads(response)

def preheat_urls(urls):
    \"\"\"预热指定的URL列表\"\"\"
    request = PushObjectCacheRequest.PushObjectCacheRequest()
    request.set_ObjectPath('\\n'.join(urls))
    request.set_accept_format('json')
    response = client.do_action_with_exception(request)
    return json.loads(response)

# 调用示例
if __name__ == '__main__':
    # 刷新单个文件
    result = refresh_urls(['https://cdn.example.com/style.css'])
    print('Refresh result:', result)
    
    # 预热多个文件
    result = preheat_urls([
        'https://cdn.example.com/app.js',
        'https://cdn.example.com/logo.png'
    ])
    print('Preheat result:', result)

安装Python SDK依赖的命令如下：

pip install aliyun-python-sdk-cdn
pip install aliyun-python-sdk-core

通过SDK进行自动化管理可以大幅提升运维效率。例如，可以在CI/CD流水线中集成刷新操作，当代码部署完成后自动刷新CDN缓存，确保用户访问到最新内容；也可以在业务高峰期前通过脚本自动预热热门资源，降低源站压力。

10. 安全防护配置

阿里云CDN提供了多层安全防护能力，包括Referer防盗链、URL鉴权、IP黑白名单以及WAF（Web应用防火墙）集成等。

Referer防盗链功能根据HTTP请求的Referer字段对请求来源域名进行筛选和限制。通过配置Referer黑白名单，可以有效防止其他网站盗链您的资源，避免流量被恶意盗刷。配置路径为：在CDN控制台的域名管理页面，进入目标域名的“访问控制”配置，找到“Referer防盗链”进行设置。可以设置黑名单（拒绝特定来源的请求）或白名单（仅允许特定来源的请求）。

URL鉴权功能适用于对资源访问有更高安全要求的场景。开启URL鉴权后，只有携带正确鉴权签名的客户端才能访问CDN上的资源。URL鉴权需要源站服务端配合，按照CDN上配置的鉴权类型所对应的鉴权算法来生成鉴权URL。阿里云CDN支持多种鉴权类型（如TypeA、TypeB、TypeC），可根据业务需求选择合适的鉴权方案。

对于CDN+OSS的纯静态托管架构，由于OSS仅存储静态文件，不存在应用层攻击风险，WAF的防护作用相对有限。但对于包含动态内容的业务场景，可以通过CDN与WAF的联动实现一站式安全和加速的整体解决方案，支持DDoS防护、WAF、黑白名单等功能。业务接入DCDN（全站加速）后可以实时保障边缘安全。

11. 计费模式与成本优化

阿里云CDN的计费分为基础服务计费（必选）和增值服务计费（可选）两部分。基础服务计费主要按从CDN节点流出的下行流量进行计费。付费方式支持按量后付费和资源包预付费两种模式。出账周期为按小时结算，账单出账时间通常在当前计费周期结束后3至4小时左右。

按流量计费采用阶梯价格模式，以自然月为累计周期按账户维度进行阶梯累进。以中国内地为例，月累计流量在0至10TB区间单价为0.24元/GB，10TB至50TB区间单价为0.23元/GB，流量越大单价越低。对于流量较大的业务（月消费金额大于10万元），可以选择按月95峰值带宽计费方式，但需联系阿里云客户经理开通。

资源包预付费模式提供了更大的折扣力度。以CDN下行流量包为例，50GB全国通用流量包仅需8.40元/年，100GB流量包仅需14.00元/年。购买流量包时需注意，计费方式必须选择“按流量计费”，流量包才能正常抵扣。

成本优化的核心策略包括：合理配置缓存过期时间，提升缓存命中率以减少回源流量；对于非热点或低频访问的内容，可以降低缓存优先级或缩短缓存时间；监控外网流量使用情况，防止异常流量盗刷造成费用损失；根据业务流量特征选择合适的资源包规格，避免资源包浪费或不足。对于流量稳定的业务，建议优先购买资源包预付费模式，单价远低于按量计费。

12. 常见问题解答

问：添加加速域名后CNAME地址为空怎么办？
答：刚添加域名后，系统生成CNAME地址需要少量时间。请等待1至5分钟后刷新CDN控制台的域名管理页面，CNAME地址会自动显示。

问：配置CNAME解析后，加速域名多久能生效？
答：DNS解析的生效时间取决于记录TTL值设置，完全生效通常需要几分钟到几小时。配置后立即访问无效属于正常现象，建议耐心等待或尝试清除本地DNS缓存。

问：刷新和预热操作有什么区别？分别适用于什么场景？
答：刷新是向CDN节点下发缓存失效指令，强制节点回源获取最新资源；预热是CDN节点主动从源站拉取资源并缓存到节点上。刷新适用于源站资源更新、违规资源清理等场景；预热适用于首次接入CDN、大型活动前的资源预加载等场景。

问：CDN配置修改后如何快速生效？
答：修改CDN配置（如缓存规则、回源配置、响应头等）通常对新请求生效。但如果边缘节点已缓存了旧内容，新配置不会立即覆盖已有缓存。需要手动刷新对应的URL或目录缓存，强制边缘节点回源获取最新配置下的资源。

问：CDN按流量计费和资源包预付费哪种更划算？
答：对于流量稳定的业务，资源包预付费模式通常更划算。以中国内地为例，按量计费0.24元/GB，而1TB/年流量包仅需99元/年，单价低至0.083元/GB。建议根据历史流量数据估算月度用量后选择合适的资源包规格。

问：如何防止CDN流量被恶意盗刷？
答：可以从多个层面进行防护：配置Referer防盗链限制请求来源；开启URL鉴权功能，只有携带正确签名的请求才能访问资源；配置IP黑白名单限制特定IP的访问；对于高价值内容，建议使用TypeC等更复杂的鉴权算法；同时可以通过CDN控制台的监控功能实时关注流量异常情况。