CDN切换不是只改一条CNAME那么简单。做过的人都知道，一个站从腾讯云CDN切到Cloudflare，不改业务代码、不丢流量、不回源超时，全靠提前把这几个环节理顺

一次CDN切换到底要动哪些东西

很多人以为CDN切换就是改一下域名的CNAME记录，指向新CDN的加速域名就完事了。实际上一个完整的CDN切换至少要覆盖这几个维度：

动作一：导出旧CDN的全部配置

绝大多数CDN厂商不提供一键导出全部配置的功能。你需要手动逐项记录下来，做成一张配置清单表：加速域名 → 源站信息 → 缓存规则（每个目录/文件类型的过期时间）→ HTTPS证书到期时间 → 防盗链规则 → IP黑白名单 → 回源超时时间 → 带宽上限。这份清单有两个作用：一是迁移到新CDN时逐项对照配置，二是万一新CDN出问题需要回滚时，旧CDN的配置还在手里。

动作二：在新CDN上预配并验证

在新CDN上添加加速域名、配置源站、上传SSL证书、设置缓存规则。配完之后不要急着切DNS，先做本地hosts验证：在本机hosts文件里把域名指向新CDN的CNAME对应IP，然后用浏览器访问看是否正常。注意检查HTTPS证书是否生效、静态资源是否命中缓存、动态接口是否正常回源。全部通过之后再往下走。

动作三：把DNS的TTL提前降到最低

DNS记录有一个TTL（Time To Live）值，决定了各地DNS服务器缓存这条记录多久。如果你切换CNAME时TTL还是默认的600秒（10分钟）甚至更长，那么从你改完记录到最后所有用户都解析到新CDN，可能还要再等10-30分钟——这段时间里一部分用户走旧CDN，一部分走新CDN，如果旧CDN在你切换后立刻停掉了，那些还没刷新DNS的用户就彻底打不开网站了。正确做法：切换前24小时，把CNAME记录的TTL降到60秒或更低。这样切换时DNS变更几乎立即在全球生效。

import requests# Cloudflare API配置API_TOKEN = "你的Cloudflare API Token"ZONE_ID = "你的Zone ID"HEADERS = {"Authorization": f"Bearer {API_TOKEN}", "Content-Type": "application/json"}# 域名和对应的新CDN CNAMEdomains = [{"name": "www.example.com", "new_cname": "new-cdn.example.cdn.com"},{"name": "api.example.com", "new_cname": "new-cdn.example.cdn.com"},{"name": "cdn.example.com", "new_cname": "new-cdn.example.cdn.com"},]def get_dns_record_id(domain_name):"""获取指定域名的CNAME记录ID"""url = f"https://api.cloudflare.com/client/v4/zones/{ZONE_ID}/dns_records?type=CNAME&name={domain_name}"r = requests.get(url, headers=HEADERS)records = r.json()["result"]return records[0]["id"] if records else Nonedef update_cname(domain_name, record_id, new_cname):"""更新CNAME记录"""url = f"https://api.cloudflare.com/client/v4/zones/{ZONE_ID}/dns_records/{record_id}"data = {"type": "CNAME", "name": domain_name, "content": new_cname, "ttl": 60, "proxied": False}r = requests.put(url, headers=HEADERS, json=data)return r.json()["success"]for d in domains:record_id = get_dns_record_id(d["name"])if record_id:ok = update_cname(d["name"], record_id, d["new_cname"])print(f"{'OK' if ok else 'FAIL'}: {d['name']} -> {d['new_cname']}")else:print(f"SKIP: {d['name']} 无CNAME记录")

注意：如果用的是阿里云DNS、腾讯云DNSPod或GoDaddy，API调用方式不同但逻辑完全一样——先查记录ID，再PUT更新content字段。各家API文档都很清楚，照着改就行。

最佳实践：如果你要在新CDN上添加50个域名，不要一个一个配。先在第一个域名上调好所有配置（缓存规则、回源HOST、HTTPS、防盗链），确认跑通后，把这个域名的配置导出为模板。后续49个域名直接用API传入模板参数批量创建。阿里云和腾讯云都支持这种"先调一个，再复制"的模式。

# 批量定义域名和源站variable "cdn_domains" {type = map(object({source_content = stringsource_port    = number}))default = {"www.example.com"  = { source_content = "1.2.3.4", source_port = 443 }"api.example.com"  = { source_content = "1.2.3.5", source_port = 443 }"cdn.example.com"  = { source_content = "1.2.3.6", source_port = 443 }}}# 批量创建CDN域名resource "alicloud_cdn_domain_new" "domains" {for_each = var.cdn_domainsdomain_name = each.keycdn_type    = "web"scope       = "domestic"sources {content  = each.value.source_contenttype     = "ipaddr"port     = each.value.source_portpriority = 20}certificate_config {cert_type = "upload"}}# 批量配置缓存规则resource "alicloud_cdn_domain_config" "cache" {for_each    = var.cdn_domainsdomain_name   = each.keyfunction_name = "set_req_host_header"function_args {arg_name  = "domain_name"arg_value = each.key}}

Terraform也支持Cloudflare和腾讯云CDN：Cloudflare的Terraform Provider（cloudflare_record用于DNS，cloudflare_ruleset用于缓存规则）是最完善的；腾讯云的tencentcloud_cdn_domain资源也覆盖了域名添加、源站配置、缓存规则等常用操作。如果团队已经在用Terraform管理其他云资源，把CDN也纳入IaC管理是最省心的选择。

环节一：HTTPS证书没同步

这是CDN切换翻车的头号原因。新CDN上加速域名配好了、缓存规则也设了、DNS也切过去了，结果用户打开网站显示"您的连接不是私密连接"——因为SSL证书没在新CDN上部署，或者部署了但还没生效。

正确做法：在切DNS之前，先在新CDN上上传SSL证书（或使用CDN提供的免费证书），用本地hosts验证HTTPS访问正常。证书到期时间也要记录下来——如果证书只剩一个月到期，切过去之后很快又要更新，不如提前续好再切。

环节二：回源HOST头配错

不同CDN对"回源HOST"的处理方式不一样。有的默认用加速域名作为回源HOST，有的默认用源站IP。如果你的源站（比如Nginx）靠HOST头来区分不同站点（虚拟主机），回源HOST配错了，CDN回源请求到了正确的服务器但命中了错误的站点，返回的内容完全不对。

正确做法：从旧CDN上找到回源HOST的配置，在新CDN上原样设置。如果源站是IP直连且只有一个站点，一般不用改；如果源站一个IP绑了多个域名，回源HOST必须指定为正确的域名。

环节三：DNS切换后没有灰度验证

很多人切换CDN的流程是：改CNAME → 等10分钟 → 访问一下首页能打开 → 收工。但首页能打开不代表所有功能正常。图片CDN域名、API接口、WebSocket连接、文件下载——每一个功能模块依赖的域名可能都不一样，只验证首页远远不够。

正确做法：提前准备一份验证清单：首页加载、静态资源（JS/CSS/图片）加载、HTTPS证书、API接口响应、登录/注册流程、文件上传/下载、视频播放。DNS切换后逐一验证，全部通过才算切换完成。如果有条件，先用一个测试子域名完整验证一轮，再切主域名。

最后说一点

CDN切换这件事，域名少的时候花一两个小时手动操作就够了；域名一旦上了两位数，一定要用脚本或Terraform，靠人工一行一行改不仅慢，更容易漏配置。最大的坑其实不在切换那一瞬间，而在切换之后——旧CDN停得太快、证书没同步、回源HOST不对、源站被突然增加的直连流量打崩。把前置验证做足、切换后保留旧CDN至少三天、盯着监控看24小时，这三条做到了，切换CDN基本不会出大问题。