CDN可以设置回源请求头吗：实用设置方法与优化技巧
好多朋友在架設網站時，都會好奇CDN能不能自訂回源請求頭？其實這問題蠻常見的，尤其當你希望源伺服器能識別CDN的請求，或者傳遞一些特殊參數時。我記得幾年前幫一個電商客戶處理過，他們需要回源時加上自訂的驗證頭，防止惡意爬蟲直接攻擊源站。CDN確實支援這功能，而且設置起來不難，關鍵是選對服務商和策略。
回源請求頭簡單說，就是CDN向你的源伺服器發請求時，可以在HTTP頭部添加額外資訊。舉例來說，像X-Forwarded-For這種標準頭，能告訴源站請求是從哪個CDN節點來的。但更實用的是自訂頭，比如加個X-Auth-Key來做簡單認證，避免未經授權的訪問。這在安全層面超重要，尤其防禦DDoS攻擊時，如果源站只接受帶特定頭的請求，就能過濾掉大量垃圾流量。
設置方法上，不同CDN服務商的操作介面差蠻多的。Cloudflare是我最常用的，它在Rules引擎裡有個「Origin Rules」選項，點進去就能新增自訂請求頭。比如，你可以設定當路徑是「/api/」時，自動加上「X-CDN-Source: true」，源伺服器收到後就能據此回傳動態內容。記得測試時別漏掉快取設定，避免頭部變更導致快取失效。
AWS CloudFront的做法有點不同，得透過Lambda@Edge來實現。先創建一個Lambda函數，在「viewer request」階段修改請求頭，程式碼用Node.js寫幾行就行，像是加上「Authorization: Bearer token」。但要注意，Lambda有執行時間限制，頭部大小也不能超過8KB，否則會回源失敗。我遇過客戶加太多頭導致延遲飆高，最後簡化成只傳必要資訊。
Akamai的Property Manager功能更彈性，直接在「Origin」設定裡添加自訂頭。它支援條件式觸發，比如當請求來自特定地區時，才加上「X-Region: US」來優化內容分發。實戰中，這招幫我優化過跨國電商的載入速度，減少延遲20%以上。
優化技巧方面，別光顧著加頭，得結合整體架構。第一，安全優先：用自訂頭做簡單認證，好比「X-Verify: hash值」，源站驗證失敗就直接拒絕，這在防禦CC攻擊時超有效。第二，性能調校：控制頭部數量，避免影響回源速度；同時設定快取規則，確保帶頭的請求不會被CDN誤快取靜態檔。第三，錯誤處理：監控回源日誌，如果頭部導致的4xx錯誤增多，趕緊調整頭值或回退機制。
最後分享個真實案例，去年幫一家媒體平台做CDN遷移，他們需要回源時傳遞用戶設備資訊。我們在Cloudflare加了「X-Device-Type」頭，源站據此回傳不同解析度的影片，結果帶寬成本降了15%，用戶體驗也更流暢。總之，回源請求頭雖是小功能，但用對了能省錢又提升安全，動手試試看吧！
评论: