按流量阶梯计费（以某云服务商为例）：
0-10TB：0.24元/GB
10-50TB：0.23元/GB  
50-100TB：0.22元/GB
100TB-1PB：0.21元/GB
1PB以上：0.20元/GB
按地域区分计费：
中国大陆：标准费率（如上）
亚太地区：标准费率×1.2
北美欧洲：标准费率×1.5
其他地区：标准费率×2.0
按时间区分计费（部分服务商）：
闲时（0:00-8:00）：标准费率×0.7
忙时（8:00-24:00）：标准费率×1.0
高峰时段（19:00-23:00）：标准费率×1.2

HTTP请求费用细分：
静态请求（图片/CSS/JS）：0.01元/万次
动态请求（API接口）：0.05元/万次
HTTPS请求：额外+0.02元/万次
视频请求（M3U8/MPD）：0.10元/万次
典型场景成本分析：
一个中型电商网站（日PV 100万）
- 页面平均包含50个静态资源
- 每日静态请求：100万×50=5000万次
- 月请求费用：5000万×30×0.01/10000=1500元
- 这还不包括动态API请求和HTTPS费用

证书相关费用：
免费证书：无费用，但需要每3个月手动续期
DV证书：200-500元/年（单域名）
OV证书：800-2000元/年（企业验证）
EV证书：2000-5000元/年（扩展验证）
HTTPS请求费：
标准HTTP请求：基础费用
HTTPS请求：基础费用+20%
QUIC/HTTP3请求：基础费用+30%
SSL握手优化服务：
会话恢复：500元/月
OCSP装订：300元/月
0-RTT支持：1000元/月

视频点播加速：
普通流量费：标准费率
视频拖拽费：0.02元/万次
自适应码率：额外+20%流量费
4K/8K视频：额外+50%流量费
直播加速：
直播流量费：标准费率×1.5
直播录制费：0.15元/小时
直播转码费：0.30元/小时
直播截图费：0.01元/张

# 阿里云CDN预算控制配置示例
budget_control:
  daily_limit: 50      # 每日上限50元
  monthly_limit: 1000  # 每月上限1000元

  alert_thresholds:
    - threshold: 50    # 达到50%时预警
      channels: [sms, email]
    - threshold: 80    # 达到80%时紧急通知
      channels: [sms, email, phone]
    - threshold: 95    # 达到95%时自动降级
      action: switch_to_low_quality  # 切换到低质量图片

  automatic_actions:
    exceed_daily_limit:
      action: switch_to_origin  # 切回源站
      notify: [admin, finance]
    exceed_monthly_limit:
      action: suspend_service   # 暂停服务
      notify: [ceo, cto]

流量包选择算法：
1. 分析历史流量模式（季节性/周期性）
2. 预测未来3个月流量需求
3. 计算最优购买组合
示例计算：
历史月均流量：20TB
预测下月流量：25TB（+25%，促销活动）
可用流量包：
- 10TB包：2000元（0.20元/GB）
- 20TB包：3800元（0.19元/GB）  
- 50TB包：9000元（0.18元/GB）
最优策略：
购买1个20TB包（3800元）+ 按量计费5TB（5×1024×0.24=1228.8元）
总成本：5028.8元，均价0.196元/GB
对比纯按量：25×1024×0.24=6144元
节省：1115.2元（18.2%）

# 智能告警规则配置
alarm_rules = {
    "流量异常": {
        "metric": "cdn.bandwidth.out",
        "statistics": "Average",
        "period": 300,  # 5分钟
        "conditions": [
            {
                "type": "同比异常",
                "threshold": 200,  # 同比上涨200%
                "duration": 2,     # 持续2个周期
                "level": "critical"
            },
            {
                "type": "环比异常", 
                "threshold": 50,   # 环比上涨50%
                "duration": 1,
                "level": "warning"
            }
        ]
    },

    "请求数暴增": {
        "metric": "cdn.request.count",
        "statistics": "Sum",
        "period": 60,  # 1分钟
        "conditions": [
            {
                "type": "绝对值阈值",
                "threshold": 100000,  # 10万次/分钟
                "duration": 5,        # 持续5分钟
                "level": "critical"
            }
        ]
    },

    "命中率下降": {
        "metric": "cdn.cache.hit.ratio",
        "statistics": "Minimum",
        "period": 300,
        "conditions": [
            {
                "type": "阈值下降",
                "threshold": 0.85,  # 低于85%
                "duration": 3,
                "level": "warning"
            }
        ]
    }
}

第一级（监控系统自动处理）：
- 触发条件：流量增长50%
- 自动动作：启动自动扩容，发送邮件通知
- 响应时限：5分钟内
第二级（运维人员介入）：
- 触发条件：流量增长200%或费用超过预算80%
- 通知方式：短信+电话
- 响应时限：15分钟内
- 处理动作：人工分析，启动防护规则
第三级（管理层决策）：
- 触发条件：单日费用超1万元或疑似被攻击
- 通知方式：电话+钉钉/微信紧急群
- 响应时限：立即响应
- 处理动作：紧急会议，决策是否关停服务

# Nginx层CC防护配置示例
http {
    # 限制单个IP的请求频率
    limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;

    # 限制单个IP的连接数  
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            # 基础频率限制
            limit_req zone=perip burst=20 nodelay;

            # 连接数限制
            limit_conn addr 10;

            # 基于用户行为的智能防护
            if ($http_user_agent ~* "(bot|crawler|spider)") {
                set $block_me 1;
            }

            if ($request_uri ~* "\.(php|asp|jsp)") {
                set $block_me 1;
            }

            if ($block_me = 1) {
                return 403;
            }
        }
    }
}

class TrafficAnomalyDetector:
    def __init__(self):
        self.model = self.load_ml_model()
        self.normal_patterns = self.load_normal_patterns()

    def detect_anomaly(self, current_traffic):
        """使用机器学习检测流量异常"""

        # 特征提取
        features = {
            'request_per_second': current_traffic['rps'],
            'bandwidth_per_second': current_traffic['bps'],
            'unique_ips': current_traffic['unique_ips'],
            'user_agent_diversity': self.calculate_ua_diversity(),
            'geographic_distribution': self.calculate_geo_distribution(),
            'request_entropy': self.calculate_request_entropy()
        }

        # 模型预测
        anomaly_score = self.model.predict(features)

        # 规则引擎验证
        rule_based_score = self.rule_based_check(current_traffic)

        # 综合判断
        final_score = 0.7 * anomaly_score + 0.3 * rule_based_score

        return final_score > 0.8  # 超过阈值判定为异常

    def rule_based_check(self, traffic):
        """基于规则的二次验证"""
        score = 0

        # 规则1：单个IP请求频率异常
        if traffic['max_rps_per_ip'] > 100:
            score += 0.3

        # 规则2：非常规时间访问
        if self.is_off_hours() and traffic['total_requests'] > 10000:
            score += 0.2

        # 规则3：可疑User-Agent
        if self.has_suspicious_ua(traffic['user_agents']):
            score += 0.2

        # 规则4：异常访问路径
        if self.has_suspicious_paths(traffic['paths']):
            score += 0.3

        return min(score, 1.0)

时间线：
2023年6月15日 22:00 - 攻击开始
2023年6月16日 03:00 - 流量异常首次被监测到
2023年6月16日 08:00 - 费用已累计1.2万元
2023年6月16日 10:00 - 开发者收到欠费通知
2023年6月16日 12:00 - 总费用达2.8万元，服务被暂停
攻击特征分析：
- 攻击源：主要来自东南亚和东欧的代理IP池
- 请求频率：平均5000次/秒，峰值2万次/秒
- 攻击目标：网站首页和几个静态资源
- 攻击手法：简单的HTTP GET Flood
- 总请求数：约2亿次请求
- 总流量：约500GB
成本计算：
流量费：500GB × 0.24元/GB = 120元
请求费：2亿次 ÷ 10000 × 0.01元 = 2000元
HTTPS费：2亿次 ÷ 10000 × 0.02元 = 4000元
服务商紧急处理费：1000元
总费用：120 + 2000 + 4000 + 1000 = 7120元
疑问：为何最终账单2.8万元？
答案：服务商按小时计费，攻击持续14小时，每小时费用2000元

# 针对个人开发者的完整防护配置
protection_config:
  access_control:
    ip_whitelist: 
      - "国内IP段"  # 仅允许国内访问
    ip_blacklist:
      - "已知攻击IP段"
    region_restrict:
      allow: ["中国"]  # 仅允许中国地区
      block: ["所有海外"]

  rate_limit:
    global: 1000req/s   # 全局限制
    per_ip: 10req/s     # 单IP限制
    per_url: 100req/s   # 单URL限制

  budget:
    daily_max: 50元
    monthly_max: 500元
    alert_at: 40元      # 40元时告警

  monitoring:
    check_interval: 5分钟
    alert_channels: [短信, 邮件, 微信]
    emergency_contact: "本人手机号"

盗链发现过程：
1. 月初账单异常：流量费从平均1000元暴涨至3500元
2. 日志分析：发现大量来自陌生域名的Referer
3. 资源追踪：某热门论坛大量用户引用本站图片
4. 影响评估：每日额外带宽消耗约100GB
盗链技术原理：
正常访问：用户访问 www.example.com → 加载图片
盗链访问：用户访问盗链网站 → <img src="http://cdn.example.com/image.jpg">
服务端识别：
正常Referer：https://www.example.com/
盗链Referer：https://bbs.discuz.com/ 或空Referer
经济损失计算：
额外流量：100GB/天 × 30天 = 3TB/月
额外费用：3TB × 1024 × 0.24元/GB = 737元/月
实际损失：还包括服务器负载增加、正常用户体验下降

# Nginx防盗链配置
location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    # 允许空Referer（直接访问或浏览器直接打开）
    valid_referers none blocked;

    # 允许自己的域名
    valid_referers server_names
                  ~\.example\.com$
                  ~\.example\.net$;

    # 允许合作伙伴域名
    valid_referers ~\.partner1\.com$
                  ~\.partner2\.com$;

    # 处理非法引用
    if ($invalid_referer) {
        # 方式1：返回403错误
        return 403;

        # 方式2：重定向到警告页面
        # rewrite ^ /anti-hotlinking.jpg;

        # 方式3：返回替代图片（带宣传信息）
        # rewrite ^ /watermark.jpg;
    }

    # 添加防盗链签名（高级方案）
    add_header X-Anti-Leech "protected";
}
# 时间戳防盗链（更安全但复杂）
location /protected/ {
    # 验证签名
    secure_link $arg_md5,$arg_expires;
    secure_link_md5 "$secure_link_expires$uri$remote_addr secret";

    if ($secure_link = "") {
        return 403;
    }

    if ($secure_link = "0") {
        return 410;  # 链接过期
    }
}

错误配置：
location ~* \.(html|htm)$ {
    expires 0;        # 错误：缓存0秒
    add_header Cache-Control "no-cache";
}
正确配置：
location ~* \.(html|htm)$ {
    expires 5m;       # 缓存5分钟
    add_header Cache-Control "public, max-age=300";
}
影响评估：
- 网站日PV：100万
- 平均页面大小：200KB
- HTML文件占比：30%
- 缓存命中率从95%降至0%
成本影响：
原本CDN流量：100万×200KB×5% = 10GB/天
配置错误后：100万×200KB×30% = 60GB/天
日增流量：50GB
月增费用：50GB×30×0.24 = 360元
性能影响：
平均响应时间：从50ms增加至300ms
服务器负载：CPU使用率从20%升至80%
用户流失率：增加15%

# 智能缓存配置策略
map $uri $cache_control {
    # 永久缓存 - 带哈希版本的文件
    ~* "\.[a-f0-9]{8}\.(css|js)$" "public, max-age=31536000, immutable";

    # 长期缓存 - 静态资源
    ~* "\.(jpg|jpeg|png|gif|ico|svg|woff2?|ttf|eot)$" "public, max-age=2592000";

    # 中期缓存 - 样式和脚本
    ~* "\.(css|js)$" "public, max-age=604800";

    # 短期缓存 - HTML页面
    ~* "\.(html|htm)$" "public, max-age=300";

    # 不缓存 - 动态内容
    ~* "^/api/" "no-cache, no-store, must-revalidate";
    ~* "^/admin/" "private, no-cache";

    # 默认策略
    default "public, max-age=3600";
}
server {
    location / {
        add_header Cache-Control $cache_control;

        # 代理缓存设置
        proxy_cache my_cache;
        proxy_cache_key "$scheme$request_method$host$request_uri";
        proxy_cache_valid 200 304 5m;  # 成功响应缓存5分钟
        proxy_cache_use_stale error timeout updating;

        # 缓存锁定，避免缓存击穿
        proxy_cache_lock on;
        proxy_cache_lock_timeout 5s;
    }
}

各云服务商协议对比：
腾讯云：
- 欠费后24小时内服务降级
- 欠费超过7天，数据可能被清除
- 保留追究法律责任的权利
阿里云：
- 欠费立即停止服务
- 数据保留15天
- 超过15天可能永久删除
AWS：
- 欠费可能导致账户暂停
- 可能影响其他关联服务
- 数据删除前会多次通知
关键法律风险：
1. 合同违约责任：需支付欠费+违约金（通常为欠费金额的30%）
2. 信用记录影响：可能上报征信系统
3. 法律诉讼风险：大额欠款可能被起诉

合规配置要求：
日志记录：
  - 必须记录访问日志，保留6个月以上
  - 日志需脱敏处理，避免记录完整IP
  - 用户同意前不得启用非必要Cookie
数据跨境：
  - 国内用户数据不得存储在境外节点
  - 使用海外CDN需签订数据出境协议
  - 必须有数据删除机制
用户权利：
  - 提供用户数据导出功能
  - 支持用户删除请求（"被遗忘权"）
  - 数据泄露72小时内报告义务
技术实现：
access_log_configure:
  format: '$remote_addr - $remote_user [$time_local] "$request" '
          '$status $body_bytes_sent "$http_referer" '
          '"$http_user_agent" "$http_x_forwarded_for"'
  anonymize_ip: true  # IP地址脱敏
  retention_days: 180  # 保留180天

privacy_features:
  respect_do_not_track: true
  cookie_consent_required: true
  data_deletion_api: "/api/user/data/delete"

目标：验证CDN效果，建立监控基线
配置：
- 仅加速CSS/JS文件（约占总流量5-10%）
- 设置每日消费上限10元
- 启用基础监控和告警
- 测试周期：2-4周
预期效果：
- 了解真实流量模式
- 验证配置正确性
- 建立费用基线
- 发现潜在问题

目标：优化配置，扩大加速范围
扩展：
- 加入图片文件加速
- 配置智能压缩（节省30-50%流量）
- 设置缓存优化规则
- 添加防盗链配置
监控重点：
- 缓存命中率（目标>90%）
- 流量节省比例
- 性能提升指标

目标：深度优化，成本控制
高级功能：
- 启用HTTP/2、QUIC协议
- 配置智能路由
- 设置区域化定价策略
- 实施边缘计算功能
成本优化：
- 购买预留流量包
- 使用闲时流量折扣
- 实施精准访问控制
- 定期清理无效缓存

# 压缩配置优化
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_types
    text/plain
    text/css
    text/xml
    text/javascript
    application/javascript
    application/xml+rss
    application/json
    image/svg+xml;
# Brotli压缩（更高效但需要编译支持）
brotli on;
brotli_comp_level 6;
brotli_types
    text/plain
    text/css
    text/xml
    text/javascript
    application/javascript
    application/xml+rss
    application/json
    image/svg+xml;
# 压缩效果预估：
原始大小：1MB的JS文件
Gzip压缩后：约300KB（节省70%）
Brotli压缩后：约250KB（节省75%）
月节省流量：假设100万次访问，节省750GB
月节省费用：750GB × 0.24元/GB = 180元

class IntelligentCacheManager:
    def __init__(self):
        self.access_patterns = {}

    def analyze_and_optimize(self, access_logs):
        """分析访问模式并优化缓存策略"""

        # 分析文件访问频率
        file_stats = self.analyze_file_access(access_logs)

        # 分类处理
        for file_path, stats in file_stats.items():
            if self.is_static_asset(file_path):
                # 静态资源：长期缓存
                self.set_cache_ttl(file_path, "30d")

            elif self.is_content_file(file_path):
                # 内容文件：根据热度调整
                if stats['daily_access'] > 1000:
                    self.set_cache_ttl(file_path, "1h")
                else:
                    self.set_cache_ttl(file_path, "5m")

            elif self.is_api_endpoint(file_path):
                # API端点：短期缓存+条件请求
                self.set_cache_ttl(file_path, "1m")
                self.enable_conditional_requests(file_path)

    def predictive_prefetch(self):
        """基于用户行为预测预取"""
        # 分析用户访问路径
        common_sequences = self.find_access_sequences()

        # 预取下一个可能访问的资源
        for sequence in common_sequences:
            if self.should_prefetch(sequence):
                self.prefetch_to_edge(sequence['next_resource'])

第一层：基础设施监控
- CDN节点健康状态
- 带宽使用率（实时/峰值/平均值）
- 请求成功率（2xx/3xx/4xx/5xx比例）
- 缓存命中率（边缘/中间层/源站）
第二层：业务监控
- 关键页面加载时间
- 用户地理分布变化
- 流量来源分析（直接/搜索/社交/引荐）
- 用户设备分布（桌面/移动/平板）
第三层：安全监控
- 异常访问模式检测
- DDoS攻击识别
- 盗链行为监控
- API滥用检测

#!/usr/bin/env python3
"""
CDN健康检查与成本监控脚本
每小时运行一次，检查异常情况
"""
import requests
import json
from datetime import datetime, timedelta
import smtplib
from email.mime.text import MIMEText
class CDNHealthMonitor:
    def __init__(self, config):
        self.config = config
        self.alert_history = {}

    def check_traffic_spike(self):
        """检查流量突增"""
        current = self.get_current_traffic()
        historical = self.get_historical_average()

        spike_threshold = 2.0  # 200%增长

        if current > historical * spike_threshold:
            self.send_alert(
                "流量突增警报",
                f"当前流量{current}GB/小时，历史平均{historical}GB/小时"
            )

    def check_cache_efficiency(self):
        """检查缓存效率"""
        hit_ratio = self.get_cache_hit_ratio()

        if hit_ratio < 0.85:  # 低于85%
            self.send_alert(
                "缓存命中率下降",
                f"当前命中率{hit_ratio:.1%}，建议检查缓存配置"
            )

    def check_cost_exceed(self):
        """检查费用超支"""
        today_cost = self.get_today_cost()
        daily_budget = self.config['daily_budget']

        if today_cost > daily_budget * 0.8:
            self.send_alert(
                "费用预警",
                f"今日费用已达{today_cost}元，预算{daily_budget}元的80%"
            )

    def run_checks(self):
        """执行所有检查"""
        checks = [
            self.check_traffic_spike,
            self.check_cache_efficiency,
            self.check_cost_exceed,
            self.check_origin_health,
            self.check_ssl_certificate,
            self.check_geographic_distribution
        ]

        for check in checks:
            try:
                check()
            except Exception as e:
                self.log_error(f"检查失败: {check.__name__}: {e}")

一级响应（轻微异常）：
触发条件：流量增长50-100%，费用超预算50%
响应团队：运维值班人员
处理时限：30分钟内响应
处理措施：检查配置，增加临时防护
二级响应（中度异常）：
触发条件：流量增长100-300%，疑似攻击
响应团队：安全团队+运维团队
处理时限：15分钟内响应
处理措施：启动防护规则，联系CDN厂商支持
三级响应（严重异常）：
触发条件：流量增长300%以上，服务受影响
响应团队：全员应急小组
处理时限：立即响应
处理措施：切回源站，启动备用CDN，法律报案