一、这一篇在处理什么
这一篇只处理一件事：在新加坡运行的API 接口站，使用维科云的高防 CDN时，如何处理「突发 CC 导致源站 502」。
应用层请求在短时间内打满源站工作进程，边缘回源超时后对用户返回 502。这和带宽打满不是同一件事：源站 CPU 未必很高，但连接数和 PHP/Node 进程已经排队。
先看回源 502 占比和源站活跃连接数，而不是只看出口带宽。
二、新加坡的网络和高峰
当地工作日晚间 20:00–24:00 最集中，午间还有一次较短的高峰。用户多数走本地宽带和区域性移动网络，跨境访问常见下一跳是香港或日本。办公室测速不能代表住宅宽带。
排查时：日志按国家码 SG 单独看。若只有新加坡变慢，先核对解析是否落到新加坡或邻近边缘，再看回源是不是绕到欧洲。
不要这样做：把语言为中文的用户全部当成同一地区，会把人分到错误节点。按网络位置，不按界面语言。
三、API 接口站要分开的路径
按路径区分只读和写入。只读且不含身份的响应才可以短缓存，写入必须回源。
防护边界：整站跳转和整站挑战不能盖住接口。调用方不会处理跳转到网页的结果。
验证：用固定的样例请求看状态码和正文是否仍是接口格式。失败时日志里要有请求编号，而不是一段网页。
四、高防 CDN怎么接
公网只解析到 CDN 的 CNAME，源站安全组只放行回源网段。静态域名使用较长缓存时间，登录、下单和支付接口单独 Bypass，不与图片域名共用缓存键。清洗策略按 Host 分开：活动页可以更严，API 要按路径放行正常的高频轮询。
产品说明见高防 CDN。只改和「突发 CC 导致源站 502」有关的域名或路径，不要把API 接口站的其他路径一起改掉。
五、排查步骤
下面五步按因果顺序执行，后一步依赖前一步的结果。步骤针对「突发 CC 导致源站 502」，不是一套通用清单。
- 只读接口和写入接口分成两列。写入请求一律记为不缓存。 把统计窗口分成两段：当地 20:00–24:00，以及午间短高峰，两段不要并成一个平均数。 这一故障在本步要完成的事：在边缘日志里按 URI 聚合故障前后 15 分钟的请求，找出 QPS 突然升高的路径。
- 只读且不含身份的响应才允许短缓存。任何写入都不能被跳转成网页。 住宅宽带和办公室网络分开列表。办公室正常不能用来关闭用户侧的告警。 这一故障在本步要完成的事：区分这些请求是带正常登录态的用户，还是无 Cookie、无 Referer 的脚本。
- 挑战和整站跳转排除全部接口路径。需要限速时按路径限速，返回仍是接口格式。 核对解析是否落在新加坡或香港、日本的邻近节点。落到欧洲就先改调度。 这一故障在本步要完成的事：对该路径单独收紧 CC 阈值或加挑战，不要把整站静态资源一并拦截。
- 源站对写入接口做幂等。只读接口不要因为写入故障被一起拒绝。 回源若绕经欧洲，先把回源改到邻近区域，确认业务程序不用改。 这一故障在本步要完成的事：源站同时限制该路径的并发，避免挑战生效前进程已经被打满。
- 用一条固定样例请求检查状态码和正文仍是接口数据。失败日志里要有请求编号。 用新加坡住宅出口复测。界面语言是中文也不代表用户在中国大陆。 这一故障在本步要完成的事：观察一个完整高峰，确认 502 下降且正常下单没有被挑战页拦住。
六、处理办法
- API 与静态资源分域，CC 只打在动态域上。
- 为轮询接口设置更低的单 IP 速率，为登录接口保留独立配额。
- 源站健康检查失败时停止向该源继续回源。
改完后在新加坡的用户网络上复查，不要只在机房内网看。复查时带上API 接口站的验证：用固定的样例请求看状态码和正文是否仍是接口格式。失败时日志里要有请求编号，而不是一段网页。
七、案例
晚高峰充值接口 502，带宽只有平时的一半。日志里同一路径被无 Cookie 客户端刷到每秒数千次。只对该路径开启挑战后，502 在二十分钟内回落，首页和图片域名没有受影响。
若同样的现象出现在新加坡，额外核对：日志按国家码 SG 单独看。若只有新加坡变慢，先核对解析是否落到新加坡或邻近边缘，再看回源是不是绕到欧洲。
业务侧核对：按路径区分只读和写入。只读且不含身份的响应才可以短缓存，写入必须回源。
这个案例只说明怎么定位，不构成容量或可用性承诺。
八、常见问题
问：502 一定是源站宕机吗？
答：不一定。回源超时、进程队列满、源站主动断开都会被记成 502。要同时看源站错误日志和边缘回源耗时。
问：为什么全站挑战后正常用户也进不去？
答：挑战打在了静态域或所有 URI 上。应只覆盖被刷的动态路径，并放行搜索引擎和支付回调网段。
问：清洗已经打开，为什么源站还是 502？
答：策略未命中实际被刷的 Host 或路径，流量仍然回源。核对规则绑定的域名是否包含该接口域。
问：同一故障换一个地区或一种业务，排查还一样吗？
答：不一样。每一步都先按API 接口站的路径处理，再按新加坡的网络条件收窄，最后才做「突发 CC 导致源站 502」这一故障本身的动作。换地区或换业务，前两段操作就会变。
九、边界
只讨论高防 CDN在「突发 CC 导致源站 502」上的处理，地区范围是新加坡，业务范围是API 接口站。请遵守当地法律。维科云提供网络能力，不对客户业务内容负责。