上线前逐项核验
CDN 接入完成不等于交付完成。上线检查覆盖解析、证书、缓存、回源、可观测性与安全策略，再用多地多运营商拨测确认解析与响应一致。经验上，上线后 24 小时内复查曲线比一次性验证更能发现间歇性问题，因为缓存生效、DNS 传播与回源压力都需要时间才显现。
基本信息
| 解析 | 多地递归解析一致，最终指向 CDN 分配的 CNAME |
|---|---|
| 安全 | HTTPS 可用、证书链完整、防盗链按设计生效 |
| 缓存 | 抽样资源的下发缓存头符合规则设计 |
| 可观测 | 日志投递正常、关键告警已配置 |
| 验证 | 多地多运营商拨测，对比直连与加速结果 |
检查单条目
- 解析核验：多地查询确认都指向同一 CNAME
- 证书核验：有效期、域名匹配与证书链完整
- 缓存核验：抽样静态资源与入口文件看响应头
- 回源核验：源站放行 CDN 回源地址段，协议与端口一致
- 监控核验：命中率、回源率、5xx 与带宽告警全部配置
- 安全核验：防盗链与鉴权策略按预期拦截非法请求
核验命令合集
核验命令合集
dig +short cdn.example.com CNAME
openssl s_client -connect cdn.example.com:443 -servername cdn.example.com </dev/null 2>/dev/null | openssl x509 -noout -enddate
curl -sI https://cdn.example.com/ | grep -i -E 'cache-control|x-cache|content-encoding'
curl -s -o /dev/null -w 'code=%{http_code} time=%{time_total}\n' https://cdn.example.com/
curl -s https://cdn.example.com/ -H 'Referer: https://evil.example/' -o /dev/null -w 'code=%{http_code}\n'上线后观察项
| 观察项 | 正常表现 | 异常信号 |
|---|---|---|
| 命中率 | 趋于稳定并逐步升高 | 持续走低说明缓存策略有问题 |
| 5xx 比例 | 接近零 | 突增要立刻查回源 |
| 回源带宽 | 随命中率上升而下降 | 不降反升说明规则未生效 |
| 多地解析 | 结果一致 | 部分地区仍指向源站 |
上线后 24 小时内抽查命中率与 5xx 曲线，比一次性验证更能捕捉间歇性问题；同时对比直连源站与走 CDN 两条路径的差异。
只在本机验证就宣布上线，会漏掉多地 DNS 与运营商线路差异；至少要覆盖不同运营商与不同地域的拨测结果。
交接材料
- 接入域名与 CNAME 对照表
- 缓存、回源与鉴权的配置说明
- 告警项清单与值班处理流程