CDN反向代理通过缓存校验机制削弱DDoS攻击：攻击流量在边缘节点被消化或过滤，源站几乎不响应；静态资源长缓存+版本化命名、白名单路径限制、Bot管理及源站协同限流共同构成防护闭环。
反向代理缓存校验机制本身不直接“拦截”DDoS攻击，但它能大幅削弱针对静态资源的攻击效果——核心逻辑是：让攻击流量在到达源站前就被边缘节点消化或过滤掉，源站几乎不参与响应。
用 CDN 或反向代理做第一道缓冲
CDN（如 Cloudflare、阿里云 CDN、腾讯云 CDN）本质就是大规模反向代理网络。它把你的静态资源（图片、CSS、JS、字体、HTML 页面等）缓存到全球边缘节点，用户请求先落到离他最近的节点：
- 如果资源已缓存且未过期，直接返回，完全不打到你的服务器
- 即使缓存失效，CDN 也会合并多个并发请求（cache lock），只让一个回源请求穿透，避免“缓存击穿”放大源站压力
- 攻击者反复刷 /logo.png 或 /style.css，实际只是压 CDN 节点，而节点带宽和连接数远高于单台源站
启用强缓存策略 + 版本化控制
光靠默认缓存不够，需主动控制生命周期和校验方式：
- 对静态资源设置长缓存时间（如
Cache-Control: public, max-age=31536000），配合文件内容哈希命名（如main.a1b2c3.js），确保更新后 URL 变化，旧缓存自然失效 - 禁用基于 Last-Modified 或 ETag 的弱校验（易被攻击者利用 HEAD 请求探测），改用强校验（ETag 基于完整文件 hash）或干脆关闭协商缓存
- 在 Nginx 反向代理层加指令强制缓存：
add_header Cache-Control "public, immutable, max-age=31536000";
结合缓存做请求合法性校验
不是所有请求都该进缓存——要过滤掉明显异常的“伪静态请求”：
- 用 Nginx 的
map模块识别非常规 User-Agent、空 Referer、高频无意义参数（如?v=123456789），对这类请求直接返回 403 或跳过缓存走限流逻辑 - 对静态资源路径做白名单限制，比如只允许
/*.js$、/*.css$、/images/.*\.(png|jpg|webp)$缓存，其余一律 404 - 开启 CDN 的“Bot 管理”功能（如 Cloudflare 的 WAF Bot Fight Mode），自动识别并挑战或拦截爬虫类 DDoS 工具发起的批量请求
配合源站防护形成闭环
缓存再强，也不能替代源站防御。需让反向代理和源站协同工作：
- CDN 回源时带上真实客户端 IP（如
X-Forwarded-For或 Cloudflare 的Cf-Connecting-IP），源站 Nginx 用real_ip模块还原，用于后续限流 - 源站配置
limit_req和limit_conn，但只针对“未命中缓存”的请求（即真正需要回源的动态或失效静态请求） - 禁止直接访问源站 IP：在源站 Nginx 加判断，若请求头中没有 CDN 标识（如
CF-Connecting-IP或自定义 header），直接 403 —— 防止攻击者绕过 CDN 直打源站
