直接查真实IP不能绕过CDN拦截，因源站强制校验Host头，IP直连若未携带正确Host将返回400或空响应；且真实IP可能仍受CDN调度或遭源站WAF拦截。
为什么直接查真实IP不一定能绕过CDN拦截
很多新手误以为“只要拿到源站IP，换掉requests的url里域名部分就能直连”，结果反而收到400 Bad Request或空响应。根本原因是：CDN节点本身不处理请求，它只是代理；而源站服务器通常配置了Host白名单或强制校验Host头，若你用IP直连但没带正确的Host，Nginx/Apache会直接拒绝服务。
查真实IP的常用方法及其有效性边界
查IP只是第一步，关键看这个IP是否仍受Cloudflare/其他CDN的流量调度控制。以下方法在2026年多数已失效或需配合其他手段：
-
nslookup/dig查A记录：对启用了CNAME+Anycast的站点（如Cloudflare）基本无效，返回的永远是CDN节点IP - 查历史DNS记录（如
securitytrails.com、viewdns.info）：仅对曾短暂关闭CDN或配置失误的站点有效，成功率低于15% - 查邮件服务器MX记录或子域名（如
admin.example.com、dev.example.com）：仍有价值，但需人工验证该子域是否真指向源站且未被CDN接管 - 查SSL证书绑定的备用域名（
openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -text -noout | grep DNS）：有时能暴露内部测试域名，但2025年后主流厂商已普遍剥离敏感信息
查到真实IP后必须做的三件事
即使确认某个IP是源站，不加处理地请求仍大概率失败。必须同步满足以下条件：
python-flask-vue-creator
下载
创建 Flask + Vue.js 全栈项目，采用单端口架构、uv 依赖管理、结构化日志和生产级前端设计。当用户要求以下操作时触发：创建新的 Flask+Vue 项目、搭建 Web 应用、构建全栈 Python+Vue 应用、初始化 Flask Web 项目、设置单端口 Flask 前后端项目。触发词：新建项目、创建项目、搭建项目、Flask项目、Vue项目。
- 在
requests.get()中显式设置headers={'Host': 'example.com'}，否则源站Web服务器无法路由到对应虚拟主机 - 禁用SSL验证时要小心：
verify=False可跳过证书错误，但会触发InsecureRequestWarning；更稳妥的是用urllib3.disable_warnings()+ 自定义HTTPAdapter复用连接 - 避免使用默认
User-Agent：源站往往比CDN层更严格，requests默认UA会被直接403；建议固定一个带完整指纹的UA，例如Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36
真实IP直连仍被拦截？说明你在和源站的WAF打交道
CDN只是第一道门，很多网站在源站前还部署了独立WAF（如ModSecurity、AWS WAF、自研规则引擎）。这类防护不依赖JS挑战，而是基于请求体特征、Header组合、TLS指纹等做实时阻断。此时：
立即学习“Python免费学习笔记（深入）”；
-
curl -v http://[真实IP] -H "Host: example.com"能通 ≠ Python脚本能通：requests底层的TLS握手参数（如ALPN、SNI、ciphers）与浏览器差异较大，容易被WAF标记为Bot - 不要迷信“换UA+加Host”万能：2026年主流WAF已支持TLS指纹识别，
requests默认指纹极容易被识别；必须用undetected-chromedriver3或playwright启动真实Chromium实例 - 如果目标是批量采集，别硬刚WAF：优先考虑官方API、RSS、sitemap.xml或联系对方申请数据合作——绕过CDN只是技术动作，绕过商业逻辑才是现实约束
Host头、不兼容的TLS栈、缺失的行为信号，再准的IP也打不开那扇门。 
