说到CDN缓存和HTTPS的关系，这确实是个容易被忽略但又相当重要的话题。最近帮客户排查SSL证书问题时，我就遇到了一个典型的案例：客户网站部署了SSL证书后，部分地区的用户反映总是跳转失败，而本地测试却一切正常。折腾了半天才发现，原来是CDN缓存把旧的HTTP响应给缓存了，导致用户访问时仍然收到未加密的连接。这个问题让我深刻意识到，CDN虽然是网站加速的好帮手，但如果配置不当，它也可能成为HTTPS部署路上的”绊脚石”。
CDN为什么会干扰HTTPS跳转？
你可能会有疑问，CDN不是应该原样缓存服务器的响应吗？理论上是这样，但实际情况要复杂得多。很多CDN服务默认会缓存301/302这些跳转响应，而且缓存时间可能长达几小时甚至几天。我就遇到过Cloudflare默认缓存301跳转7天的情况，这期间无论服务器配置怎么改，用户看到的都还是旧的跳转规则。
如何避免CDN缓存导致的HTTPS问题
根据我的经验，有几种方法可以解决这个问题。首先是最简单粗暴的：清除CDN缓存。但这种方法治标不治本，更适合紧急修复。更靠谱的做法是在CDN配置中关闭对跳转响应的缓存，或者设置较短的缓存时间。以Nginx为例，可以这样配置：
location / {
proxy_cache_bypass $http_pragma;
proxy_cache_revalidate on;
proxy_cache_valid 301 302 5m; # 只缓存跳转5分钟
}另外，可以考虑使用HSTS（HTTP Strict Transport Security）头来强制浏览器使用HTTPS。这个方法的优势在于它绕过了CDN的缓存机制，直接在浏览器层面实现跳转。不过要注意，HSTS一旦设置错误，可能会导致网站暂时无法访问，所以建议先设置较短的max-age值测试。
真实案例分析
上个月处理的一个案例特别典型：某电商网站升级HTTPS后，移动端用户频繁遭遇”混合内容”警告。排查过程简直像侦探破案——先是发现CDN缓存了部分静态资源的HTTP版本，然后发现某些地区的ISP还做了二次缓存。最终解决方案是：1) 在CDN配置中设置立即回源获取新资源；2) 为所有静态资源添加版本号；3) 部署CSP策略强制升级不安全请求。折腾是折腾了点，但效果立竿见影。
从这些经验来看，CDN和HTTPS的配合确实需要格外注意。建议大家在部署SSL证书后，一定要用不同地区的设备进行测试，别像我当初那样，本地测试通过就以为万事大吉了。毕竟，互联网的世界里，缓存就像空气一样无处不在，而我们能做的，就是确保每一层缓存都在正确的轨道上运转。
评论