历经十余年发展Cloudflare 已构建起覆盖全球数百个城市的边缘网络成为集域名解析、网络代理、安全防护、内容分发、边缘计算、应用托管与零信任接入于一体的全栈式云服务平台。它以反向代理为核心形态将网络与安全能力前置到离用户最近的边缘节点重构了传统互联网应用的访问链路。一、基础DNS、代理模式与反向代理Cloudflare 所有能力的落地都建立在三个核心概念之上权威 DNS、代理模式与反向代理架构。三者共同决定了流量是否经过 Cloudflare、以何种方式经过 Cloudflare。1. 权威 DNS流量的入口调度DNS域名系统的作用是将人类可读的域名如www.example.com映射为机器可识别的 IP 地址如192.0.2.10。DNS 是一套分层分布式数据库由域名空间与资源记录、权威域名服务器、递归解析器Resolver三部分构成。其中权威 DNS 服务器保存特定域名区域的正式解析记录递归 DNS 则代表用户逐级查询根服务器、顶级域服务器与权威服务器最终返回解析结果。当用户将域名的 Nameserver 修改为 Cloudflare 提供的服务器如alice.ns.cloudflare.com、bob.ns.cloudflare.com后Cloudflare 即成为该域名的权威 DNS 服务商全权控制该域名下的 A/AAAA 记录、CNAME 记录、MX 邮件记录、TXT 验证记录、DNSSEC 等全部 DNS 配置。使用 Cloudflare DNS 不等于使用 Cloudflare CDN。流量是否进入 Cloudflare 代理链路取决于 DNS 记录是否开启代理模式。在此基础上Cloudflare 权威 DNS 还实现了CNAME FlatteningCNAME 扁平化技术当根域名example.com配置 CNAME 记录时Cloudflare 会在权威侧递归解析 CNAME 目标最终直接返回 IP 地址突破了 DNS 标准中根域名不能配置 CNAME 的限制同时提升了解析效率。2. DNS Only 与 Proxied两种流量模式Cloudflare 控制台中的“云朵”状态是区分流量模式的标识直接决定了请求链路的走向。灰色云DNS Only 模式用户 → DNS 查询 → 得到源站真实 IP → 直接访问源站该模式下Cloudflare 仅承担权威 DNS 解析职责不代理 HTTP 请求不提供 CDN 缓存、WAF 防护能力不会隐藏源站 IP也不会在用户与源站之间终止 TLS 连接。该模式通常用于邮件服务、SSH 直连等不需要 HTTP 代理的场景。橙色云Proxied 代理模式用户 → DNS 查询 → 得到 Cloudflare Anycast IP ↓ Cloudflare ↓ 源站开启代理后DNS 查询返回的不再是源站真实 IP而是 Cloudflare 的共享 Anycast IP。用户流量将先抵达 Cloudflare 边缘节点经过缓存、安全校验、逻辑处理后再由 Cloudflare 转发至源站。橙色云的本质并非“开启加速开关”而是将 Cloudflare 置入用户与源站之间使其成为全链路的反向代理。3. 反向代理Cloudflare 的架构形态代理分为正向代理与反向代理两类正向代理代表客户端访问外部服务用于隐藏客户端身份、突破网络限制反向代理则代表后端服务器接收客户端请求用于统一入口、安全防护、负载均衡与内容缓存。在典型网站架构中Cloudflare 就是标准的反向代理浏览器认为自己直接连接了目标域名实际连接的是 Cloudflare 边缘节点再由 Cloudflare 代表浏览器向源站发起请求。基于这一架构Cloudflare 可在请求链路中完成 TLS 握手、HTTP/2 与 HTTP/3 协议处理、DDoS 流量清洗、WAF 安全检测、Bot 识别、访问限流、内容缓存、数据压缩、Workers 边缘代码执行、回源负载均衡等一系列能力实现“一次接入全链路赋能”。二、Anycast 网络架构Cloudflare 能够实现全球就近接入主要依赖 Anycast任播网络技术这也是其与传统 CDN 最重要的架构差异之一。1. Anycast 原理传统单播Unicast网络中一个 IP 地址仅对应一个物理节点而在 Anycast 架构下Cloudflare 全球所有边缘节点对外宣告完全相同的 IP 地址段。例如东京、马尼拉、新加坡、洛杉矶的节点可同时宣告104.16.x.x这一 IP 段。当用户访问该 IP 时互联网的 BGP边界网关协议路由系统会根据路由跳数、链路质量、运营商对等关系等策略将流量自动送往网络路径最优的 Cloudflare 边缘节点。Anycast 选择的是 BGP 路由意义上的最优路径不一定是地理距离最近的机房。运营商路由策略、对等互联关系、跨境链路成本等因素都可能导致流量被调度至非地理最近的节点。Cloudflare 全球网络通过 BGP 协议从多位置宣告相同的 Anycast IP。Anycast CDN 具备更高的可用性与路径稳定性但运营方会损失一部分精细化流量调度能力。2. Anycast 架构的价值降低网络延迟用户流量将优先进入路径最近的边缘节点避免跨洲直连源站带来的高 RTT往返时延。对于缓存命中的静态内容请求无需回源响应延迟可降至毫秒级。天然故障转移当某一节点或对应路由不可用时Cloudflare 可快速撤销该节点的 BGP 路由宣告流量将自动切换至其他可达节点实现无感知故障转移提升整体服务可用性。分布式 DDoS 防护DDoS 攻击流量会被 Anycast 网络自动分散到全球不同边缘节点进行清洗而非集中冲击单一源站 IP。结合全球节点的带宽池可大幅提升攻击承载阈值。统一网络入口无论源站部署在自建机房、公有云AWS/Azure/阿里云、家用服务器还是 Kubernetes 集群对外都可呈现为统一的 Cloudflare 网络入口屏蔽底层基础设施差异。三、链路拆解一次 HTTP 请求的 Cloudflare 之旅以用户访问https://www.example.com/image.png为例请求链路可分为七个阶段覆盖从 DNS 解析到内容返回的全流程。第一步DNS 解析浏览器首先向递归 DNS 发起域名解析请求。若该域名记录开启橙色云代理Cloudflare 权威 DNS 将返回 Cloudflare Anycast IP而非源站真实 IP。第二步建立传输连接用户向返回的 Anycast IP 建立传输层连接支持两种主流协议TCP TLS 1.3承载 HTTP/2 流量兼容绝大多数客户端QUIC HTTP/3基于 UDP 的多路复用安全传输协议由 RFC 9000 标准化具备连接迁移、队头阻塞消除等特性在弱网环境下表现更优。Cloudflare 是全球最早大规模落地 HTTP/3 的服务商之一目前默认对所有代理域名开启 HTTP/3 支持。第三步TLS 连接终止浏览器与 Cloudflare 边缘节点完成 TLS 握手建立加密会话。由于 Cloudflare 需要读取 HTTP 请求内容以执行 WAF 检测、缓存匹配、Workers 逻辑处理因此必须在边缘节点终止 TLS 连接解密请求内容。当前 Cloudflare 全平台默认支持 TLS 1.3 协议相比 TLS 1.2 缩减了握手往返次数同时强化了前向保密等安全特性。对于高并发场景还支持 TLS 会话复用与 0-RTT 握手进一步降低连接建立延迟。第四步多层安全校验请求在进入业务逻辑前将依次经过多层安全防护体系概念上的执行顺序为L3/L4 DDoS 检测 ↓ HTTP DDoS 检测 ↓ WAF 规则集 ↓ Bot 行为检测 ↓ 访问限流 (Rate Limiting) ↓ 自定义安全规则实际内部执行流程会根据产品配置、规则类型动态调整目标是在边缘节点直接拦截恶意请求避免其消耗源站资源。所有安全规则的检测均基于 Cloudflare 全球威胁情报体系实时更新。第五步Workers 边缘代码执行若域名或路径绑定了 Worker 脚本请求将进入用户自定义的代码逻辑。Cloudflare Workers 支持 JavaScript、TypeScript、Rust/Wasm 等多种语言开发者可在边缘节点完成请求头修改、身份鉴权、路由转发、动态响应生成、第三方 API 调用等操作。示例代码exportdefault{asyncfetch(request,env){returnnewResponse(Hello from Cloudflare);}}第六步边缘缓存匹配Cloudflare 根据请求 URL、缓存规则、响应头、缓存键等信息查询边缘节点是否存在可用的缓存副本。缓存命中直接从边缘缓存返回内容无需访问源站响应延迟最低缓存未命中请求继续转发至源站获取响应后若满足缓存条件则保存至边缘缓存再返回给用户。HTTP 缓存涵盖缓存存储、新鲜度、年龄、Vary 响应、重新验证等机制同时提供扩展能力支持定制化缓存策略。第七步回源请求转发需要回源时Cloudflare 将与源站建立独立的连接发起请求并获取响应。因此完整的 TLS 加密链路通常分为两段用户 ⇄ Cloudflare ⇄ 源站 TLS ① TLS ②Cloudflare 官方文档将两段证书明确区分Edge Certificate用户到 Cloudflare 边缘的证书由 Cloudflare 统一签发管理Origin CertificateCloudflare 到源站的证书用于保障回源链路加密。四、CDN 缓存体系CDN 的价值是通过边缘缓存缩短内容传输距离降低源站负载。1. CDN 解决的问题假设源站部署在美国用户位于亚洲无 CDN 时请求需全程跨境传输存在四大痛点往返时延RTT高页面加载速度慢跨境链路丢包对传输性能影响显著所有用户请求直接消耗源站带宽并发请求直接冲击源站计算与数据库资源。接入 Cloudflare CDN 后亚洲用户可直接访问就近的边缘节点静态资源缓存命中时无需跨境回源从根本上解决上述问题。2. 默认缓存规则与适用资源Cloudflare 默认仅对静态文件类型执行缓存主要包括样式与脚本CSS、JavaScript图片资源PNG、JPEG、WebP、AVIF、SVG媒体与文件字体、PDF、ZIP 压缩包、音视频文件。默认情况下HTML、JSON 等动态内容不会仅凭文件类型被缓存需通过 Cache Rules、Workers 或源站响应头显式配置缓存策略。3. Cache-Control缓存策略的标准源站可通过Cache-Control响应头控制缓存行为标准指令如下Cache-Control: public, max-age3600 Cache-Control: private Cache-Control: no-store Cache-Control: no-cache各指令的精确含义public允许共享缓存如 CDN存储该响应private仅允许私有缓存如浏览器本地存储CDN 不应缓存no-store禁止任何缓存存储该响应每次都需回源no-cache允许缓存存储但再次使用前必须向源站验证有效性max-age定义资源的新鲜度生命周期单位为秒。Cloudflare 默认不会缓存带有private、no-store、no-cache、max-age0等指令的响应同时默认不缓存非 GET 请求包含Set-Cookie头的响应通常也不会进入常规缓存流程。4. 双层缓存浏览器缓存与边缘缓存浏览器本地缓存与 Cloudflare 边缘缓存是两个完全独立的缓存层级可分别配置策略。为实现定向缓存控制Cloudflare 支持CDN-Cache-Control、Cloudflare-CDN-Cache-Control等扩展响应头专门针对 CDN 节点设置缓存规则不影响浏览器缓存行为。该机制遵循“定向 HTTP 缓存控制”标准实现了不同缓存层级的策略解耦。5. Request Collapsing缓存击穿防护当热门资源缓存失效瞬间若同时有大量并发请求到达会引发“缓存击穿”所有请求同时回源压垮源站。Cloudflare 通过 Request Collapsing缓存锁机制解决该问题首个未命中的请求触发回源其余相同请求在边缘节点等待回源结果最终共享同一份响应。1000 个并发请求 ↓ Cloudflare 缓存锁 ↓ 1 次回源请求该机制可大幅降低缓存失效瞬间的源站压力尤其适用于大文件分发、热点内容突发访问等场景。补充分层缓存体系为进一步优化回源效率Cloudflare 构建了三级缓存架构边缘节点缓存离用户最近的接入节点存储热门内容上层缓存节点Tiered Cache区域级缓存节点存储次热门内容边缘节点未命中时优先查询上层节点减少跨区域回源Cache Reserve基于 R2 对象存储的持久化缓存层存储低频访问的冷内容避免源站重复响应冷请求进一步降低回源成本。五、安全防护体系DDoS 防护与 WAF 的边界与协同DDoS 防护与 WAF 是 Cloudflare 安全体系的两大组件二者防护目标、工作层级、检测逻辑均有本质差异无法相互替代。1. DDoS 防护对抗流量规模攻击DDoS分布式拒绝服务攻击的核心目标是耗尽目标的网络带宽、连接表、CPU 资源、Web 线程、数据库连接或 API 配额最终导致服务不可用。Cloudflare DDoS Protection 覆盖 OSI 模型的多个层级L3IP 层攻击如 IP 碎片攻击L4传输层攻击如 UDP Flood、SYN Flood、ACK FloodL7应用层攻击如 HTTP GET Flood、随机子域 DNS 攻击。其防护系统基于全球流量基线自动检测异常并通过边缘节点直接清洗攻击流量无需人工干预。官方数据显示Cloudflare 可承载 Tbps 级别的 DDoS 攻击。2. WAF对抗应用层漏洞攻击WAFWeb Application FirewallWeb 应用防火墙工作在 HTTP 应用层核心是分析请求内容的合法性拦截针对应用漏洞的攻击行为。例如针对请求GET /users?id1 OR 11WAF 可识别其 SQL 注入特征并拦截。Cloudflare WAF 可检测的攻击类型包括SQL 注入、XSS 跨站脚本路径遍历、命令注入恶意文件上传、已知漏洞利用异常 HTTP 参数与协议违规。Cloudflare WAF 提供的能力包括自定义规则、托管规则集Managed Rules、OWASP 规则集、访问限流、IP/国家/请求字段过滤、攻击评分等可灵活适配不同业务的安全需求。3. 二者的差异与协同关系DDoS Protection 防止“请求量或流量规模”拖垮服务 WAF 防止“请求内容和行为”攻击应用典型场景区分每秒 100 万个格式正常的请求 → 属于 DDoS 防护范畴每秒 1 个精心构造的 SQL 注入请求 → 属于 WAF 防护范畴。二者相辅相成DDoS 防护先清洗掉海量恶意流量WAF 再对剩余正常流量做精细化内容检测共同构建完整的应用安全防线。在此之外Bot 管理是 Cloudflare 安全体系的另一重要模块通过行为分析、设备指纹、人机验证等方式识别恶意爬虫与自动化工具可与 WAF、DDoS 防护联动配置。六、SSL/TLS 加密模型端到端的信任链路Cloudflare 作为反向代理天然将 TLS 链路拆分为两段不同加密模式对应不同的安全等级需根据业务场景选型。1. Universal SSL边缘加密的基础当域名开启代理后Cloudflare 可自动签发并管理边缘证书即 Universal SSL免费为所有站点提供 HTTPS 访问能力。但 Universal SSL 仅解决了“用户 → Cloudflare”段的加密“Cloudflare → 源站”段的加密仍需单独配置。2. 四种 SSL/TLS 加密模式Cloudflare 提供多级加密模式安全强度逐级提升。Flexible 模式用户 ⇄ Cloudflare → 源站 HTTPS HTTP仅加密用户到 Cloudflare 的链路Cloudflare 到源站仍为明文 HTTP 传输。该模式仅实现“部分安全”涉及登录、个性化数据等敏感内容的站点应使用 Full 或 Full (strict) 模式而非 Flexible。Full 模式用户 ⇄ Cloudflare ⇄ 源站 HTTPS HTTPS两段链路均采用 HTTPS 加密但 Cloudflare 对源站证书的验证较为宽松源站可使用自签名证书或过期证书无法完全防范中间人攻击。Full (strict) 模式用户 ⇄ Cloudflare ⇄ 经过证书验证的源站两段链路均加密且 Cloudflare 会严格校验源站证书证书是否在有效期内是否由可信 CA 或 Cloudflare Origin CA 签发证书域名是否与目标域名匹配。Full (strict) 是安全性最高的标准模式推荐在条件允许时优先使用。补充高级加密能力Origin CA 证书Cloudflare 提供的免费源站证书仅被 Cloudflare 节点信任用于回源链路加密无需向公共 CA 申请部署便捷Keyless SSL企业级功能允许用户将私钥保留在自有服务器Cloudflare 不接触私钥即可完成 TLS 握手满足金融、政务等高安全合规要求HSTS可配置 HTTP Strict Transport Security强制浏览器使用 HTTPS 访问防止协议降级攻击。七、边缘计算引擎Workers 与 Isolate 架构Cloudflare Workers 是部署在全球边缘节点的 Serverless 计算平台基于 V8 Isolate 技术构建与传统容器型 Serverless 有本质架构差异。1. Isolate 运行时架构传统 Serverless 平台通常基于容器或 MicroVM 隔离函数每个函数实例对应独立的运行环境冷启动耗时通常在百毫秒级。Workers 采用 V8 Isolate 隔离架构同一个 V8 运行时进程内可管理大量相互隔离的 Isolate 实例每个 Isolate 拥有独立的 JavaScript 内存环境承载不同用户的代码。Cloudflare Worker Runtime ├─ Isolate A用户 A 的代码 ├─ Isolate B用户 B 的代码 ├─ Isolate C用户 C 的代码 └─ ...Isolate 的创建开销远低于容器可实现亚毫秒级冷启动且单台服务器可承载上万名租户的代码极大提升了资源利用率降低了边缘计算的成本。Cloudflare Workers Runtime 基于 V8 引擎与 WebAssembly 标准构建支持完整的 Web API。多租户 Isolate 架构存在微架构侧信道风险Cloudflare 通过动态进程隔离等机制缓解该类风险保障多租户安全。2. Workers 的适用场景Workers 轻量、低延迟的特性使其非常适合部署在请求链路上的边缘逻辑典型场景包括API 网关、JWT 身份鉴权请求/响应重写、边缘重定向A/B 测试、灰度发布图片处理、Webhook 处理轻量后端 API、多服务聚合反向代理、自定义缓存控制。3. Isolate 架构的局限Workers 并非完整的 Linux 虚拟机存在明确的能力边界无完整操作系统环境无法启动任意守护进程无持久化本地磁盘状态存储需依赖配套数据产品CPU 执行时间、内存占用、子请求数量受套餐配额限制进程内状态不具备持久化可靠性无法作为可靠存储使用。同时Workers 原生支持 WebAssembly开发者可使用 Rust、C/C、Go 等语言编写高性能逻辑编译为 Wasm 后在边缘运行兼顾性能与安全性。八、全栈托管生态Pages围绕 Workers 边缘计算Cloudflare 构建了完整的应用托管与数据存储产品形成了全栈式边缘开发平台。1. Cloudflare Pages前端与全栈应用托管Cloudflare Pages 是面向前端与全栈项目的托管平台支持 Git 驱动的自动化部署。典型工作流GitHub 仓库 ↓ Cloudflare 自动构建 ↓ 静态文件部署到全球边缘网络Pages 非常适合部署个人作品集、博客、Vue/React/Vite 项目、Astro/Hugo 静态站点、MkDocs 技术文档等前端项目。通过 Pages Functions开发者可为 Pages 项目添加服务端动态逻辑无需单独管理服务器其底层基于 Workers 运行时能力完全对齐。与 GitHub Pages 相比Cloudflare Pages 的能力更全面能力GitHub PagesCloudflare Pages静态网站托管支持支持Git 自动部署支持支持自定义域名支持支持动态后端不直接提供Pages Functions / Workers边缘计算不提供Workers数据库集成不直接提供D1、KV、R2、Durable Objects安全规则有限WAF、Access、限流等GitHub Pages 更偏向纯静态网站托管Cloudflare Pages 是与边缘 Serverless 深度集成的全栈应用部署平台。2. 边缘数据产品矩阵Cloudflare 提供四款核心数据存储产品覆盖不同业务场景均与 Workers、Pages 深度集成。R2零出口费对象存储R2 是 S3 兼容的对象存储服务适合存储图片、视频、模型文件、日志归档、安装包、数据集、用户上传文件等。Cloudflare 强调 R2 不收取传统云对象存储常见的公网出口带宽费用仅收取存储容量与操作请求费用大幅降低了大文件分发的成本。D1Serverless SQL 数据库D1 是 Cloudflare 推出的 Serverless SQL 数据库提供 SQLite 风格的 SQL 语义可通过 Workers、Pages 或 HTTP API 访问。D1 适合存储用户信息、博客文章、项目列表、配置数据、元数据等结构化数据支撑小型管理后台、轻量业务系统。示例建表语句CREATETABLEprojects(idINTEGERPRIMARYKEY,nameTEXTNOTNULL,descriptionTEXT);Workers KV全球分布式键值存储Workers KV 是全球分布式键值存储采用最终一致性模型适合读多写少、允许一定传播延迟的业务场景如配置项、用户资料、主题设置等。site:theme → dark user:1001:profile → {...}KV 的数据会异步同步到全球边缘节点写入后通常在 60 秒内完成全球传播不适合需要强一致性、实时事务的业务。Durable Objects有状态边缘协调Durable Objects 用于解决边缘 Serverless 场景下的强协调与有状态计算问题。每个 Durable Object 拥有全局唯一标识计算与存储深度耦合提供强一致、可序列化的存储接口可协调多个客户端连接。适用场景聊天室、多人游戏房间、协同编辑、实时设备状态同步、分布式锁、单用户会话协调、精确计数器等。Cloudflare 将其定位为构建有状态应用与分布式系统的基础组件。九、内网互联与零信任Tunnel 与 Zero Trust 架构除了面向公网应用的加速与防护Cloudflare 还构建了完整的企业内网接入与零信任安全体系重新定义了远程办公与内网资源访问的模式。1. Cloudflare Tunnel无公网 IP 的安全接入传统内网服务暴露到公网需要公网 IP、端口映射、防火墙放行存在较高安全风险。Cloudflare Tunnel 通过主动出站连接的方式将内网服务安全接入 Cloudflare 网络。传统暴露方案Internet ↓ 公网 IP ↓ 路由器端口映射 ↓ 内网服务器Cloudflare Tunnel 方案内网服务器上的 cloudflared ↓ 主动建立出站连接 Cloudflare 全球网络 ↓ 用户特点连接由内网的cloudflared客户端主动向外建立通常不需要公网 IP也不需要开放入站端口。隧道建立后请求可双向传输但防火墙可完全阻断所有公网入站连接极大缩小攻击面。基础使用命令cloudflared tunnel--urlhttp://localhost:8080该命令可将本地http://localhost:8080服务通过 Cloudflare 分配的域名安全暴露到公网。Cloudflare Tunnel 适用于家庭服务器、内部管理面板、NAS、SSH、远程桌面、企业内部服务、本地开发测试、无公网 IP 的工控机服务等场景。2. Cloudflare Zero Trust零信任安全架构传统企业网络基于“边界信任”模型接入公司局域网或 VPN 后默认用户具备较高访问权限。而零信任架构的思想是永不信任始终验证无论用户来自公网还是内网每次访问都需验证身份、设备状态、访问上下文与合规策略。零信任架构是将安全防御重点从静态网络边界转移到用户、资产与资源上的架构范式。Cloudflare One零信任产品套件包含以下组件Access应用访问控制判断用户是否有权限访问内部应用Gateway安全网关过滤 DNS、HTTP 与网络流量Tunnel内网资源连接器将内部服务接入 CloudflareWARP终端安全客户端为员工设备提供安全网络接入Browser Isolation浏览器隔离将恶意代码拦截在云端DLP数据防泄漏检测并阻止敏感数据外传。其中 Cloudflare Access 是零信任应用访问的核心可通过 Include、Require、Exclude 等规则组合身份与上下文条件实现精细化访问控制。典型策略示例仅允许公司邮箱账号访问必须启用多因素认证MFA必须使用企业受管理设备仅允许指定国家/地区的 IP 访问仅特定用户组可访问敏感系统。十、Cloudflare 的能力边界与局限1. 默认不替代源站基础设施仅将域名接入 Cloudflare 代理源站服务器仍由用户自行管理。Cloudflare 不会自动替用户运行 Nginx、部署数据库、保存业务数据、修复源站漏洞、管理操作系统或执行服务器备份。只有使用 Pages、Workers、R2、D1 等原生托管产品时对应的应用与数据才真正部署在 Cloudflare 平台上。2. 并非所有流量都适合缓存动态 HTML、API 接口、登录态数据、带 Cookie 的个性化内容盲目缓存会引发严重问题例如用户 A 的个人页面被缓存后返回给用户 B造成数据泄露。缓存规则必须结合 URL、Cookie、Authorization 头、请求方法、用户身份、响应头等维度谨慎设计区分可缓存的静态内容与不可缓存的动态内容。3. 配置后不代表源站绝对安全若攻击者通过历史 DNS 记录、邮件头、Git 提交历史、证书透明度日志等渠道获取源站真实 IP即可绕过 Cloudflare 直接攻击源站。因此接入 Cloudflare 后仍需配套加固措施源站防火墙仅放行 Cloudflare 官方 IP 段的入站请求优先使用 Cloudflare Tunnel完全关闭公网入站端口清理泄露源站 IP 的旧 DNS 记录与历史数据持续对源站系统与应用进行安全更新与加固。4. 平台绑定与技术依赖风险若业务深度使用 Workers、Durable Objects、D1、KV 等 Cloudflare 原生产品应用会与 Cloudflare 平台深度绑定迁移成本较高架构设计时需权衡云厂商依赖风险。5. 其他客观局限TLS 必须在边缘终止才能实现 WAF、缓存等能力因此 Cloudflare 位于应用数据的信任边界内Anycast 路由受运营商策略影响无法保证用户始终接入地理最近的节点免费版存在请求次数、CPU 时间、存储容量、日志保留等配额限制高级功能需升级付费套餐中国大陆地区无自建节点跨境访问的优化效果受国际链路影响存在一定不确定性。总结Cloudflare 的能力体系可从下到上划分为五层第一层DNS 层 域名解析与流量入口调度 第二层网络代理层 Anycast 网络、反向代理、TLS 终止、HTTP/3 协议 第三层安全防护层 DDoS 清洗、WAF、Bot 管理、限流、零信任 第四层性能优化层 CDN 缓存、连接优化、分层缓存、智能路由 第五层开发平台层 Workers、Pages、R2、D1、KV、Durable Objects贯穿五层架构的本质是Cloudflare 通过权威 DNS 与 Anycast 全球网络将自身置入用户与应用之间在全球边缘节点上统一执行网络接入、安全防护、缓存加速与应用计算。它重新定义了互联网应用的接入边界开发者无需在全球部署机房也无需自研复杂的安全与加速系统只需接入 Cloudflare 平台即可获得全球级的网络与安全能力将精力聚焦于业务逻辑本身。