互联网业务当中，网站页面、图片、JS、CSS、音视频、APP安装包等静态资源，是用户访问消耗带宽最多的部分。如果全部请求直接打到源站服务器，会带来一系列棘手问题。当用户分布在全国各地，不同地域的用户访问源站，网络链路距离远，页面加载缓慢；业务遭遇流量突增、大促活动时，源站带宽瞬间打满，直接造成网站卡顿甚至无法访问；大量外网访问会消耗高额的源站外网带宽成本；同时源站服务器需要同时承接动态业务逻辑与静态文件下载，CPU、带宽、IO资源被大量占用，动态接口服务质量受到拖累。
CDN内容分发网络，就是为解决静态资源分发难题而生的边缘云服务。它依托遍布各地的边缘节点集群，将业务资源缓存到距离用户最近的边缘节点。用户请求资源的时候，就近访问边缘节点获取缓存内容，不需要全部回源到源站服务器，大幅缩短访问延迟，降低源站带宽压力，抵御突发流量冲击，同时降低外网流量开销。不管是网站业务、小程序、APP、短视频点播、软件下载，都可以借助CDN实现加速。本文完整拆解CDN平台整体架构、全套核心功能、完整计费体系，提供控制台操作、Python SDK、cURL、运维shell脚本可直接复制运行的代码示例，讲解域名接入、缓存调优、安全防护、成本控制、高频故障排查，覆盖个人站点、中小项目、大中型企业出海业务的全部落地诉求。详情👉访问阿里云 CDN 服务平台了解
一、CDN整体产品架构与基础工作原理
CDN整体架构分为边缘节点层、调度层、回源网络层、配置管控层、安全能力层、监控运维层六大模块。边缘节点层分布在全国以及海外多个地区，海量边缘服务器节点，负责缓存业务资源，直接响应终端用户请求；调度层依靠DNS调度系统，根据用户IP的地域、运营商，把用户请求调度到延迟最低的边缘节点，实现就近访问；回源网络层，当边缘节点没有命中缓存，会向源站拉取资源，回源链路使用BGP优质网络，保障回源速度；配置管控层，所有域名缓存、防盗链、HTTPS、规则引擎等配置统一下发到全部边缘节点；安全能力层集成Referer防盗链、URL鉴权、访问控制、缓存穿透防护；监控运维层提供流量带宽、请求数、命中率、状态码统计，配套告警、离线日志、实时日志投递能力。
完整业务访问流程：用户浏览器请求静态资源，DNS调度将请求解析至就近边缘节点；边缘节点判断本地是否存在有效缓存，如果缓存命中，直接返回资源给用户；如果缓存未命中、缓存过期，边缘节点向源站发起回源请求获取资源；源站返回资源数据，边缘节点缓存这份资源，同时把数据返回终端用户。后续其他用户访问同一份资源，就可以直接命中边缘缓存，不再访问源站。
源站可以是ECS服务器，也可以是对象存储OSS，也可以是自建IDC服务器，CDN对源站类型没有强制限制。业务接入CDN核心操作就是添加加速域名，完成CNAME域名解析切换，流量就会经过CDN边缘网络。
二、CDN平台核心功能模块详解
2.1 精细化缓存策略管理，提升缓存命中率
缓存是CDN最核心的能力，缓存策略直接决定回源次数、源站压力与用户访问体验。平台支持按照文件后缀、请求路径、请求头设置差异化缓存过期时间。对于图片、视频、JS、CSS这类极少变动的静态资源，可以设置较长缓存时间；对于HTML动态页面，设置短缓存时间或者直接设置不缓存，保证页面内容实时更新。详情👉访问阿里云 CDN 服务平台了解
支持忽略URL参数功能，很多业务请求会携带无用的URL查询参数，不同参数访问同一个文件，默认会生成多份缓存，开启忽略参数，会剔除无效参数生成缓存key，显著提升缓存命中率。同时支持状态码缓存配置，针对404、500这类异常状态码配置缓存时长，避免大量不存在的资源请求反复穿透回源，打垮源站。Range分片回源针对大文件视频、压缩包，支持分片请求，不需要一次性拉取完整大文件，提升大文件首屏加载速度，减少回源流量消耗。
缓存遵循优先级逻辑：源站返回的Cache‑Control响应头优先级最高，其次是控制台自定义缓存规则。业务调试阶段需要留意源站返回的http头，避免控制台配置不生效。
2.2 刷新与预热能力，资源更新快速生效
业务发布新版本、图片资源更新之后，旧的资源依旧保存在边缘节点缓存，用户依旧访问旧版本内容，此时就需要刷新操作。刷新分为URL刷新与目录刷新，URL刷新指定单个资源清除节点缓存；目录刷新清理整个目录下全部缓存资源。刷新任务提交之后，全网边缘节点逐步清除缓存，下一次访问触发回源获取最新源站内容。
预热功能，主动将源站资源提前推送到边缘节点，用户第一次访问就直接命中缓存，适合大促活动、新版本发布，避免大量用户同时访问，瞬间产生大批量回源请求压垮源站。刷新、预热有每日额度限制，大规模业务需要合理规划任务提交时机，不要短时间提交大量任务。
2.3 丰富的回源配置，适配各类源站场景
回源就是边缘节点向源站获取资源的过程，CDN提供全套回源自定义配置。支持配置主备源站，主源站故障自动切换到备源站，保障业务访问连续性；支持自定义回源HOST，很多源站一台服务器托管多个网站，回源HOST指定访问源站内部对应的站点；支持回源协议选择，回源使用HTTP或者HTTPS协议，支持回源端口自定义；支持改写回源请求头，添加自定义请求头，删除、修改请求参数，适配源站的鉴权逻辑。
当源站为私有读写权限的OSS存储空间时，可以开启OSS私有回源授权，CDN回源的时候自动携带签名，正常读取私有Bucket内文件，不需要把Bucket修改为公共读，兼顾安全与加速效果。
2.4 HTTPS全链路加密，支持HTTP/3协议
CDN支持托管SSL证书，可以上传自有证书，也可以使用免费证书，实现客户端到CDN节点HTTPS加密访问。支持配置HTTP强制跳转HTTPS，访问http协议自动301重定向到https；支持TLS版本管控，关闭老旧不安全TLS1.0、TLS1.1版本，只保留高安全等级TLS1.2、TLS1.3。同时支持HTTP/3（QUIC协议），移动端弱网络环境下，提升访问成功率，降低网络抖动带来的访问卡顿问题。
支持配置OCSP装订，优化HTTPS握手耗时，进一步缩短SSL握手时间。
2.5 多层安全防护，防盗链与访问鉴权
资源盗链是网站常见问题，第三方网站直接引用业务图片、视频链接，消耗大量CDN流量，产生高额账单。CDN提供Referer防盗链，配置域名白名单，只允许自有域名访问资源，拦截陌生来源访问。
对于安全等级更高的业务，可以开启URL鉴权功能，资源访问链接需要携带加密计算出来的鉴权参数与过期时间，没有合法鉴权参数直接返回403拒绝访问，链接具备有效期，过期自动失效，即便是链接被泄露，到期之后也无法继续访问资源。同时支持IP黑白名单，允许或者拦截指定IP段访问加速域名；缓存穿透防护，拦截大量不存在资源的恶意请求，避免恶意请求全部回源打穿源站。带宽封顶功能，可以设置域名最大带宽阈值，当业务遭遇恶意攻击，带宽到达阈值，限制访问，防止流量无限飙升带来巨额账单。
2.6 规则引擎与边缘脚本，高度自定义边缘逻辑
规则引擎可视化图形化配置，根据请求路径、请求头、请求参数匹配条件，执行缓存、回源改写、重定向、请求头修改、拦截封禁等操作，满足复杂业务定制需求。对于更加复杂的业务逻辑，可以使用边缘脚本，编写轻量脚本代码在边缘节点执行，实现请求修改、响应改写、复杂鉴权、流量拦截等高级逻辑，极大拓展CDN的处理能力，不用修改源站业务代码，逻辑全部在边缘节点完成。
2.7 日志、监控告警与报表体系
CDN生成离线访问日志，保存每一条用户访问请求的详细信息，包含客户端IP、访问时间、请求URL、状态码、响应大小、Referer、UA信息，可以下载日志用于业务行为分析、安全排查。也可以开启实时日志投递，将访问日志实时投递到日志服务，实现秒级别日志分析。
监控面板可以查看带宽峰值、下行流量、请求数量、回源流量、缓存命中率、各类状态码占比。命中率是衡量CDN加速效果的核心指标，命中率越高代表回源越少，源站压力越小。支持配置监控告警，带宽、请求异常、命中率暴跌时，推送告警通知给运维人员，及时发现业务异常。运营报表可以按天、按周统计域名访问数据，方便做业务复盘。
2.8 完整开放API、SDK，自动化运维能力
CDN全部功能，添加域名、修改配置、提交刷新预热任务、查询监控指标、查询日志任务，全部对外提供RESTful API。官方提供多语言SDK，开发者可以编写脚本批量管理大量加速域名，把CDN能力集成到自有运维平台，实现自动化域名部署、自动刷新缓存，适配CI/CD发布流程，新版本发布自动调用API执行缓存刷新，不用人工登录控制台操作。
三、CDN计费体系完整解析
CDN计费主要分为基础下行流量带宽费用，加上HTTPS请求、实时日志投递等增值服务费用，支持按量付费、资源包两种模式。详情👉访问阿里云 CDN 服务平台了解
按量付费，分为按流量计费、按带宽峰值计费。按流量计费，按照实际产生下行流量阶梯计费，用多少扣多少，适合流量波动大的业务；按带宽峰值计费，按照每日带宽峰值结算，适合流量稳定的大中型业务。默认存在带宽上限，防止恶意攻击带来无上限账单。
资源包模式，预购买流量包，抵扣CDN下行流量，相比按量付费单价更低，适合业务流量可预估的场景。资源包分为国内资源包、海外资源包，国内与海外流量分开抵扣，购买的时候注意区分。
增值服务计费：HTTPS请求次数、实时日志投递、边缘脚本等功能，部分增值能力默认关闭，开启之后才会产生费用。回源产生的源站流量，由源站侧产品进行计费，不属于CDN计费项。
业务搭配OSS对象存储作为源站，业务流量由CDN对外分发，相比用户直接访问OSS外网域名，整体成本更低，CDN流量单价低于OSS外网流出单价，是非常经典的云上静态资源架构方案。
四、实操接入教程，附带完整可运行代码
4.1 控制台接入CDN基础步骤
- 开通CDN服务，进入CDN控制台；
- 添加加速域名，填写业务域名，选择业务类型，配置源站地址；
- 根据业务配置缓存策略、防盗链、HTTPS证书；
- 获取CDN分配的CNAME地址，前往域名DNS服务商，修改域名解析记录为CNAME；
- DNS解析生效之后，访问域名流量经过CDN，查看监控指标确认加速生效。
4.2 Python SDK调用CDN接口，提交URL刷新任务
# pip install alibabacloud‑cdn20180510
from alibabacloud_cdn20180510.client import Client as CdnClient
from alibabacloud_tea_openapi import models as open_api_models
from alibabacloud_cdn20180510 import models as cdn_models
import os
from dotenv import load_dotenv
load_dotenv()
def create_cdn_client():
config = open_api_models.Config(
access_key_id=os.getenv("CDN_AK_ID"),
access_key_secret=os.getenv("CDN_AK_SECRET"),
endpoint="cdn.aliyuncs.com"
)
return CdnClient(config)
def refresh_url_list(url_array):
"""提交URL刷新任务"""
client = create_cdn_client()
req = cdn_models.RefreshObjectCachesRequest()
req.object_path = "\n".join(url_array)
req.object_type = "File"
resp = client.refresh_object_caches(req)
print(f"刷新任务ID：{resp.body.refresh_task_id}")
return resp.body.refresh_task_id
if __name__ == "__main__":
refresh_list = [
"https://static.demo.com/images/a.jpg",
"https://static.demo.com/css/main.css"
]
task_id = refresh_url_list(refresh_list)
print(f"已提交刷新任务，任务编号 {task_id}")
4.3 Python查询CDN域名监控带宽流量指标
from alibabacloud_cdn20180510.client import Client as CdnClient
from alibabacloud_tea_openapi import models as open_api_models
from alibabacloud_cdn20180510 import models as cdn_models
import os
import json
from dotenv import load_dotenv
load_dotenv()
client_config = open_api_models.Config(
access_key_id=os.getenv("CDN_AK_ID"),
access_key_secret=os.getenv("CDN_AK_SECRET"),
endpoint="cdn.aliyuncs.com"
)
cdn_client = CdnClient(client_config)
def get_domain_traffic(domain,start_time,end_time):
req = cdn_models.DescribeDomainBpsDataRequest()
req.domain_name = domain
req.start_time = start_time
req.end_time = end_time
resp = cdn_client.describe_domain_bps_data(req)
return resp.body
if __name__ == "__main__":
result = get_domain_traffic("static.demo.com","2025‑08‑22T00:00:00Z","2025‑08‑22T23:59:59Z")
print(json.dumps(result.to_map(),ensure_ascii=False,indent=2))
4.4 cURL请求格式示例（CDN接口必须签名，业务开发优先SDK）
# CDN OpenAPI需要HMAC签名，下面仅展示参数格式，不要直接复制运行
export AK="你的AccessKeyId"
export SK="你的AccessKeySecret"
curl -X POST https://cdn.aliyuncs.com \
-H "Content‑Type:application/x‑www‑form‑urlencoded" \
‑d "Action=RefreshObjectCaches&ObjectType=File&ObjectPath=https://static.demo.com/demo.js"
4.5 Shell脚本批量读取url文本文件执行刷新任务
#!/bin/bash
#cdn_refresh.sh 读取url.txt内的链接，调用python脚本执行CDN刷新
URL_FILE="./url.txt"
if [ ! -f ${URL_FILE} ];then
echo "url.txt文件不存在"
exit 1
fi
#读取全部url，传入python脚本批量刷新
cat ${URL_FILE} | python3 - <<END
import sys
import os
from dotenv import load_dotenv
from alibabacloud_cdn20180510.client import Client as CdnClient
from alibabacloud_tea_openapi import models as open_api_models
from alibabacloud_cdn20180510 import models as cdn_models
load_dotenv()
conf = open_api_models.Config(access_key_id=os.getenv("CDN_AK_ID"),access_key_secret=os.getenv("CDN_AK_SECRET"),endpoint="cdn.aliyuncs.com")
cli = CdnClient(conf)
urls = [line.strip() for line in sys.stdin if line.strip()]
req = cdn_models.RefreshObjectCachesRequest()
req.object_path = "\n".join(urls)
req.object_type = "File"
res = cli.refresh_object_caches(req)
print("提交刷新任务ID:",res.body.refresh_task_id)
END
echo "批量刷新任务提交完成"
4.6 URL鉴权链接生成Python片段
import hashlib
import time
def generate_cdn_auth_url(origin_url,auth_key,expire_second=3600):
"""生成CDN鉴权访问链接"""
expire_ts = int(time.time()) + expire_second
md5_source = f"{auth_key}{origin_url}{expire_ts}"
md5_val = hashlib.md5(md5_source.encode("utf‑8")).hexdigest()
final_url = f"{origin_url}?auth_key={expire_ts}_{md5_val}"
return final_url
if __name__ == "__main__":
auth_key_str = "my_secret_key_001"
url = "https://static.demo.com/video/demo.mp4"
print(generate_cdn_auth_url(url,auth_key_str,7200))
五、典型业务落地场景
第一，网站与H5业务加速，网页图片、JS、CSS静态资源接入CDN，降低页面加载时间，减轻源站服务器带宽压力，提升用户浏览体验。
第二，对象存储静态资源分发，OSS存放图片、音视频，CDN作为分发层，是非常通用的架构，兼顾存储成本与访问速度。
第三，音视频点播业务，MP4、HLS视频资源，开启Range分片回源，优化视频起播速度，支撑大量用户同时播放视频。
第四，APP安装包、软件包下载加速，大文件分发，借助海量边缘节点，全国各地用户高速下载，源站不会被下载流量压垮。
第五，出海跨境业务，开启海外加速节点，海外用户就近访问海外边缘节点，解决跨地域访问延迟高的痛点。
第六，小程序、移动端业务图片资源，大量图片资源，CDN承担图片分发，源站只处理业务接口逻辑。
六、业务落地避坑与成本优化指南
- DNS CNAME解析必须正确配置，只有域名解析指向CDN分配的CNAME，流量才会经过CDN，配置完成之后可以使用nslookup确认解析结果。
- 合理配置缓存策略，关注缓存命中率，静态资源设置较长缓存时间；动态页面禁止缓存；开启忽略参数，去除无意义url参数，提升命中率。命中率过低代表大量请求穿透回源，源站压力与回源流量会上涨。
- 防盗链配置按需开启，图片视频业务务必配置Referer防盗链，高安全业务搭配URL鉴权，防止资源被盗链消耗大量流量。
- 区分刷新与预热功能，刷新是删除旧缓存；预热是主动把资源推送到边缘节点；不要短时间大量提交刷新预热任务，注意每日额度限制。
- 源站与CDN缓存策略冲突排查，源站返回Cache‑Control http头优先级高于控制台配置，如果控制台设置缓存不生效，优先排查源站响应头。
- 带宽封顶一定要配置，防止恶意攻击、盗链带来流量暴涨，产生高额账单；同时开启监控告警，带宽、命中率异常及时接收通知。
- 密钥安全管控，CDN的API AccessKey禁止硬编码写进代码，使用环境变量保存；URL鉴权密钥妥善保管，不要对外泄露。
- 区分国内海外流量，资源包国内、海外互相不通用，出海业务需要购买对应区域资源包。
- 私有OSS源站不要修改为公共读，使用CDN私有回源授权，CDN回源自动签名，保障存储桶安全。
七、总结
CDN内容分发网络，将资源下沉到遍布各地的边缘节点，解决源站带宽压力大、跨地域访问延迟高、突发流量容易打垮源站等一系列业务痛点。精细化缓存管理、刷新预热、灵活回源配置、HTTPS加密、多层安全防盗链鉴权、规则引擎边缘脚本、完整监控日志告警，整套能力覆盖绝大多数静态资源分发场景。
按量付费、资源包两套计费模式，适配测试站点、中小业务、出海企业不同规模业务。控制台可视化操作、多语言SDK、完整API接口，开发运维人员可以完成自动化发布流程，新版本发布自动调用接口刷新缓存。不管是网站、小程序、APP、音视频点播，CDN都是互联网业务必不可少的边缘分发基础设施，和对象存储搭配可以构建一套高性能、低成本的静态资源分发架构。
