一、Cloudflare 与 AWS CloudFront 核心差异在哪里？

1.1 CDN 选型要看哪些关键技术指标？

评估CDN时首先关注全球PoP点数量，它决定了边缘节点密度并直接影响终端用户TTFB上限。Cloudflare在70多个国家部署数据中心，AWS CloudFront依托AWS全球基础设施拥有数百个边缘节点。边缘计算能力同样关键，Cloudflare Workers和AWS Lambda@Edge允许在靠近用户的节点执行业务逻辑，可有效降低主源站负载。 关于该结论的延伸阅读，可参考 [1] Google web.dev：Why HTTPS Matters。

TLS终止位置影响证书管理方式和握手延迟，在边缘节点完成TLS终止能减少回源握手耗时。免费套餐的限制条款决定了能否覆盖生产环境流量，部分CDN免费版仅支持有限流量额度或功能子集，实际项目中需对照日均请求量评估套餐上限是否满足业务增长需求。 在外贸独立站建站的整体技术栈中，HTTPS 是底层信任的入口，缺失它会让后续 SEO、转化、合规工作都打折扣。

• PoP 点数量与地理覆盖：CF 300+ 城市，CFoA 按需扩展
• 边缘计算支持：CF Workers 无服务器函数，CloudFront Functions 轻量
• TLS 终止位置：边缘终止 vs 源站直连，影响证书管理路径
• 免费套餐差异：CF 免费版含 DDoS 基础防护，CloudFront 无永久免费

1.2 全球节点覆盖与边缘计算能力对比

Cloudflare 采用 Anycast 路由架构，在 300+ 城市部署 PoP 节点，用户请求自动调度至物理距离最近的边缘节点，有效降低网络延迟。AWS CloudFront 则依托区域级边缘节点，按需动态扩容，节点分布密度相对集中。在节点规模上，两者覆盖策略差异明显，实际选型需结合目标市场地理分布综合评估。

边缘计算能力是两者核心技术分水岭。Cloudflare Workers 基于 V8 隔离环境，可执行业务逻辑、实时内容生成及 API 网关等复杂任务，性能指标可达 TTFB ≤50ms。AWS CloudFront Functions 仅支持轻量请求头修改与 URL 重写，并发执行模型受限。若业务逻辑需下沉至边缘处理，Workers 方案明显更具优势。

• CF：300+ 城市 PoP，Anycast 路由，边缘脚本完整支持
• AWS CloudFront：AWS 区域边缘节点，生态集成紧密
• 边缘计算：CF Workers 可处理完整请求，CFoA Functions 轻量
• 适用场景：高频个性化逻辑选 CF，深度 AWS 集成选 CloudFront

二、两者安全防护能力有何本质区别？

2.1 DDoS 防护与 WAF 功能深度对比

Cloudflare 免费版即含 L3/L4 DDoS 基础防护，依托 Anycast 网络在数百个边缘节点分散吸收流量洪峰，无需付费即可启用流量清洗。AWS CloudFront 则依赖 AWS Shield Standard 提供免费基础防护，其 L3/L4 防护容量相对有限，遭遇大规模流量攻击时需升级至 AWS Shield Advanced 才能扩展防护带宽。 关于该结论的延伸阅读，可参考 [2] MDN Web Docs：混合内容（Mixed Content）。

WAF 规则集方面，Cloudflare 托管规则覆盖 OWASP Top 10，CFoA WAF 按规则数计费；AWS CloudFront 集成 AWS WAF，支持托管规则组与自定义规则，按规则数和请求量双重计费。两者均支持 IP 信誉库查询、UA 字符串过滤、请求速率限制等自定义规则配置，满足精细化访问控制需求。 我们作为华东地区建站团队，在 SSL 配置、HSTS 预加载、混合内容修复等环节积累了完整的迁移清单。

• DDoS 防护：CF 免费含 L3/L4 基础，CFoA DDoS 高手企业版
• WAF 功能：CF 托管规则集，CFoA 按规则条数计费
• Bot 管理：CF Bot Management 付费特性，CFoA Bot Control 可选
• 成本模型：CF 套餐包含安全特性，CFoA 安全功能分层计费

2.2 如何根据业务场景选择安全方案？

安全方案选型需结合业务风险敞口综合评估。若所在行业曾遭受 DDoS 攻击或业务中断影响显著，建议优先评估 Cloudflare 企业版的大流量清洗容量；若已深度使用 AWS 生态（EC2、RDS、VPC），则 CloudFront 与 IAM、WAF 的原生集成可降低多平台运维复杂度；

WAF 规则维护成本是长期运营的关键变量。托管规则集（如 AWS WAF Managed Rules、Cloudflare Managed Rules）开箱即用，适合缺乏安全团队的站点，但高级规则集通常按请求量计费；

1. 评估 DDoS 防护容量需求：历史流量峰值 × 安全冗余系数
2. 判断 WAF 规则复杂度：托管规则能否覆盖行业合规要求
3. 权衡安全成本与 AWS 账单：CloudFront WAF 按请求计费上限
4. 验证实际防护效果：通过 Load 测试验证防护阈值

三、迁移到 Cloudflare 或 CloudFront 的实操路径是什么？

3.1 DNS 配置与证书管理的落地步骤？

迁移第一步指向 Cloudflare NS 或配置 Cloudflare for SaaS CNAME。登录域名注册商控制台，将 NS 记录批量更改为 Cloudflare 分配的地址；如使用 CFoA 接入，需在 DNS 解析中添加目标域名的 CNAME 并开启代理。技术团队在迁移窗口期建议保留原 NS 48 小时，通过 `dig NS example.com` 验证传播状态，避免部分区域解析中断导致源站直接暴露。 关于该结论的延伸阅读，可参考 [3] SSL Labs：SSL/TLS Deployment Best Practices。

SSL/TLS 模式推荐「完全」加密，源站可部署 Let's Encrypt 证书实现自动化续期。Cloudflare 自动签发 Universal SSL，CFoA 场景则通过 ACM 申请托管证书或上传自有证书至 S3 再关联至分配域名。启用 HSTS 时 max-age 应从 0 开始逐步提升，首次设置为 0-31536000 秒（约 6 个月），配合 includeSubDomains 与 preload 标志落地，同时检查 Mixed Content 避免跳转循环。配置完成后用 `curl -sI https://example.com | grep -i strict` 验证响应头是否符合预期。

1. DNS 接入：NS 切换或 CNAME 解析，等待传播（TTL 预降）
2. 证书申请：CF 自动签发，CFoA 通过 ACM 或手动上传
3. HTTPS 强制：301 重定向 HTTP 流量，验证混合内容无残留
4. HSTS 配置：max-age 31536000，逐步提升防止回退

3.2 缓存策略与成本优化的关键要点有哪些？

静态资源缓存是降低回源的核心手段。图片、CSS、JS 等文件建议在 Cloudflare Edge 或 CloudFront 分发时设置 max-age ≥2592000（30 天），配合 Cache-Control 和 Surrogate-Key 实现细粒度缓存键管理，避免不同语言版本的资源误命中导致内容错乱。Lighthouse 持续监测 TTFB，目标控制在 200ms 以内。

CloudFront 按请求次数计费，流量规模扩大后成本增长显著，需结合 CloudWatch 监控命中率并设置合理的缓存层级。按量计费边界可通过预置容量包优化固定成本，适用于流量可预期的出海站点。技术团队建议使用 curl -I 定期抽检缓存头，确保 Expires 与 max-age 配置一致，防止陈旧资源被客户端长期留存。

1. 缓存 TTL：静态资源 max-age≥2592000，动态内容短 TTL
2. 缓存失效：URL 刷新 API 或 Cache Tag 精准清除
3. 成本控制：CF 免费套餐足够大多数外贸站，CFoA 关注请求量曲线
4. 性能监控：Lighthouse 定期测试，TTFB 目标≤200ms