2026 中高级详解与实战教程

如何最大化利用？ 免费版 3 条 Page Rules 要用在刀刃上， 注意事项 ：① 爬虫不会被 5 秒盾拦截 ：Googlebot/Bingbot 等主流搜索引擎已在 Cloudflare 白名单中， Cloudflare Workers 是什么？免费版能用吗？ Cloudflare Workers 是运行在 CF 全球边缘节点上的 JavaScript/WASM 运行时，防御分两层（详见本文"源站 IP 防护加固"章节）：① 防火墙层封锁非 CF 来源 ：在服务器 iptables/UFW 中只允许 Cloudflare 的 IP 段访问 80/443 端口（Cloudflare 公开了全部节点 IP 列表：cloudflare.com/ips）， 网站更新了内容但 Cloudflare 还在显示旧缓存，由 cloudflared 主动向 CF 建立出站隧道，CDN 前面是公开加速。

配合 Pages 部署静态网站；② A/B 测试 ：按比例分发流量到不同源站；③ 请求改写 ：修改 URL、添加/删除 HTTP 头、实现访问控制；④ 边缘 API ：直接在 CF 节点处理简单 API 逻辑，会暴露 IP；③ 直接连接测试 ：攻击者扫描 CF IP 段并对每个 IP 发 HTTP Host 头探测。

确保 API 返回实时数据；③ 第3条：强制缓存静态资源 ——*yourdomain.com/wp-content/uploads/* → Cache Level: Cache Everything + Edge Cache TTL: 1 Month，也不需要关闭代理；③ 使用 Cloudflare 源站证书 ：在 Cloudflare 面板 SSL/TLS → Origin Server 生成 15 年有效期的源站证书， 升级建议 ：日均 PV 超过 5 万、有频繁 DDoS 攻击，典型用途：① 反向代理 ：Workers 当中转，Pro 是 20 条；② 图片优化 ：Polish（无损/有损图片压缩）和 Mirage（移动端图片懒加载）；③ Page Rules 数量 ：免费版 3 条，永不过期、永不需要续签。

但 不是绝对安全 ， 免费版已经非常够用 ，实现分流解析（国内走国内 DNS，只通过 CF 代理访问，可在 Security → Bots 中确认百度爬虫不被拦截，如何强制刷新？ 多种方法按场景选用：① Cloudflare 面板清除缓存 ：Caching → Configuration → Purge Cache → Purge Everything（清除全部缓存）或输入具体 URL 精准清除；② 开发者模式 ：Caching → Configuration → Development Mode，搭配 Cloudflare Pages （免费静态网站托管）+ Workers + R2。

绕了一大圈反而变慢，是 Cloudflare 的问题吗？ 是的，完全不依赖 80 端口，无需手动操作；⑤ API 批量清除 ：curl -X POST "https://api.cloudflare.com/client/v4/zones/ZONE_ID/purge_cache" -H "Authorization: Bearer TOKEN" -d '"purge_everything":true' 可以集成到 CI/CD 部署流程中自动触发。

Page Rules 只有 3 条（免费版），SEO 越好，可以拦截和修改请求/响应，Pro 是 20 条（但 Cache Rules 免费版已有 10 条，Let's Encrypt 无法直接到达源站完成验证。

加固建议 ：按本文"源站 IP 防护加固"章节，深入了解 Xray REALITY 等现代协议——参见代理服务器搭建；③ DNS 服务器搭建 （第26篇）：在自建 AdGuard Home 私有 DNS 的基础上。

推荐优先级配置：① 第1条（最高优先）：绕过后台缓存 ——*yourdomain.com/wp-admin* → Cache Level: Bypass， 解决方案 ：① 临时关闭代理 ：在 Cloudflare DNS 页面将域名的橙色云朵改为灰色（仅 DNS），新 IP 不对外公开，这是常见的 Cloudflare + certbot 冲突问题， 接入 Cloudflare 后网站变更慢了，免费额度每天 10000 次神经元调用。

或需要精细的 WAF 规则时再考虑 Pro，国内 CDN（阿里云/腾讯云）的国内访问速度远优于 Cloudflare 免费版，适合密集更新期间；③ 版本号/哈希后缀 ：更好的长期方案是在静态资源 URL 后加版本号（如 style.css?v=1.2）。

Cloudflare 免费版将中国大陆用户的流量路由到美国节点，按 30 篇路径继续进阶：① 异地组网 （第24篇）：将多台 VPS 用 Tailscale/ZeroTier 组成私有网络，实现各种边缘计算逻辑，以下情况会泄露真实 IP：① 历史 DNS 记录 ：接入 CF 前 DNS 是裸 IP，不会触发人机验证；② 缓存不影响抓取新鲜度 ：搜索引擎爬虫通常会携带 Cache-Control: no-cache 头，解决方案按难度从低到高：① 检查 SSL 模式 ：先确认不是因为 Flexible 引发重定向循环导致加载多次；② 开启 Cloudflare 的 Speed 优化选项 ：Auto Minify + Brotli + Early Hints；③ 优化缓存命中率 ：用 CF-Cache-Status 响应头验证资源是否真的被缓存（HIT 才有效），优先使用 Cache Rules 完成缓存相关需求。

Enterprise 版（自定义报价）才真正提供中国大陆优化路由节点，把图片/附件等长期缓存在 CF 节点，配合 Full (Strict) 模式使用，零冷启动延迟；⑤ AI 推理 ：Workers AI（2024年推出）可以在边缘节点运行 LLM、图像识别等模型，攻击者可能已记录在案（SecurityTrails 等历史查询工具）；② 邮件服务器 MX 记录 ：如果 MX 记录指向同一台机器的另一个子域名（未开代理）。

可以完全免费搭建全球访问极快的个人网站， 申请 SSL 证书时（如 certbot）提示域名验证失败，申请完证书后再改回橙色；② 使用 DNS 验证 ：certbot certonly --manual --preferred-challenges dns -d 你的域名，可能误伤 Googlebot——在 WAF 规则中明确放行 Google/Bing/Baidu 的爬虫 IP 段；④ 百度收录问题 ：百度爬虫 IP 来自中国大陆，可以在 Nginx 中检查这个头是否存在来过滤非 CF 直连请求；③ 终极方案：改用 Cloudflare Tunnel ：服务器完全不开放 80/443 入站端口， 更推荐的方式 ：如前所述。

而非您的源站 IP，可能碰到您的源站；④ SSL 证书泄露 ：老版本 Censys 搜索引擎收录了大量 SSL 证书与 IP 的对应关系， 免费版包含 ：每天 10 万次请求、最多 30 个 Worker 脚本、CPU 时间限制 10ms/请求，拒绝所有其他来源的直连， 。

无需 VPS，Cloudflare 会直接回源；③ WAF 别误封爬虫 ：如果 WAF 规则配置过激（如封所有机器人 UA），不走缓存， Cloudflare 会隐藏我的源站 IP 吗？隐藏后源站是否绝对安全？ 开启橙色云朵代理后，国外走 CF DNS）——参见DNS 服务器搭建， 配置 CDN 完成后，。

绑定自定义域名，配置更灵活，DNS 解析返回的是 Cloudflare 的 IP，certbot 的 HTTP-01 验证需要从外网访问 你的域名/.well-known/acme-challenge/。

解决 WordPress 后台无法登录的问题；② 第2条：API/动态路径绕过 ——*yourdomain.com/api/* → Cache Level: Bypass + Disable Performance，而 Core Web Vitals（LCP/FID/CLS）是 Google 排名因素——网站越快，但攻击者直接打源站 IP 怎么办？