凌晨 3 点半，香港葵涌机房 8 楼里，运营同事在钉钉里狂发“拉美买家说页面像蜗牛”，日本代理商也在催：登录页经常要 3～5 秒才出第一屏。我盯着监控：香港—巴西 TTFB > 2.8s，东京用户也不稳，命中率忽高忽低。问题的根不只是带宽，而是多语言 + 跨区域带来的缓存碎片化与路由不一致。

那一晚，我把“多语言 CDN 缓存”这颗难啃的骨头，从架构到内核调优，一口气啃完。下面就是我落地的完整过程、坑与修复。

总体目标与架构蓝图

目标：

• 不同区域买家访问同一站点，获得正确语言与稳定低 TTFB；
• 缓存键统一、语言归一，避免 Vary 爆炸；
• 静态资源 90%+ 命中率，HTML 首屏命中 > 60%；
• 业务可灰度、可回滚、可观测。

高层架构（文字版）：

[User 浏览器]
   │  (HTTP/2/3, GeoIP, Accept-Language)
   ▼
[CDN 边缘：Cloudflare/同类]  ← WAF/RateLimit/Tiered Cache/HTTP3
   │  (Worker 统一语言前缀 + 设 lang cookie)
   ▼
[香港机房 Origin Shield: Nginx + Varnish 微缓存]
   │  (只暴露给 CDN IP 段)
   ▼
[应用层：php-fpm/Node/Go + Redis/MariaDB]
   │
[对象存储/镜像站/CI 发布]

我使用的硬件与系统参数（落地可复用）

网络内核与文件句柄（/etc/sysctl.d/99-tuning.conf）：

net.core.somaxconn = 65535
net.core.netdev_max_backlog = 250000
net.ipv4.tcp_max_syn_backlog = 262144
net.ipv4.ip_local_port_range = 1024 65000
net.ipv4.tcp_tw_reuse = 1
fs.file-max = 2097152
vm.dirty_ratio = 10
vm.dirty_background_ratio = 5

进程句柄（/etc/security/limits.conf）：

www-data soft nofile 1048576
www-data hard nofile 1048576
varnish  soft nofile 1048576
varnish  hard nofile 1048576

多语言策略：为什么要“统一语言前缀”而不是直接 Vary

SEO 与缓存命中都要求URL 可判定。用 Vary: Accept-Language 会造成键爆炸（浏览器语言千奇百怪），命中率雪崩。

做法：将所有未指定语言的请求，在 CDN 边缘根据 cf.country + Accept-Language 计算出目标语言代码（如 en、zh-hk、ja），301/307 到明确的语言前缀 URL：/en/...、/zh-hk/...。同时下发 lang Cookie，便于后续边缘与源站一致识别。

缓存维度自然落在路径前缀上，避免 Vary；源站也按前缀输出对应语言资源。

语言映射（可按业务调整）：

CDN 边缘：用 Worker 统一语言与缓存键

以 Cloudflare 为例（其他支持边缘脚本的 CDN 同理）。Worker 只在请求未带语言前缀时触发，否则完全旁路，避免循环跳转与多余边缘计算。

// Cloudflare Worker (index.js)
const SUPPORTED = ["en", "zh-hk", "zh-cn", "zh-tw", "ja", "ko", "ru"];
function pickLang(cfCountry, acceptLang) {
  const map = { HK:"zh-hk", MO:"zh-hk", CN:"zh-cn", TW:"zh-tw", JP:"ja", KR:"ko", RU:"ru" };
  const byGeo = map[cfCountry] || "en";
  if (!acceptLang) return byGeo;
  const al = acceptLang.toLowerCase();
  for (const l of SUPPORTED) if (al.includes(l)) return l;
  return byGeo;
}

export default {
  async fetch(request, env, ctx) {
    const url = new URL(request.url);
    // 已有语言前缀则旁路
    const hasPrefix = SUPPORTED.some(l => url.pathname === `/${l}` || url.pathname.startsWith(`/${l}/`));
    if (hasPrefix) return fetch(request);

    // 后台/静态接口不重写（避免管理端、API 被影响）
    if (url.pathname.startsWith("/admin") || url.pathname.startsWith("/api")) {
      return fetch(request);
    }

    // 基于 Cookie 优先，再回退 Accept-Language/GeoIP
    const cookie = request.headers.get("Cookie") || "";
    const m = cookie.match(/(?:^|;\s*)lang=([^;]+)/);
    let lang = m?.[1];
    if (!lang || !SUPPORTED.includes(lang)) {
      const cfCountry = (request.cf && request.cf.country) || "US";
      const accept = request.headers.get("Accept-Language") || "";
      lang = pickLang(cfCountry, accept);
    }

    // 重写到有前缀的 URL（保留查询串）
    const target = new URL(url.toString());
    target.pathname = `/${lang}${url.pathname}`.replace(/\/+/g, "/");
    const res = Response.redirect(target.toString(), 307);
    res.headers.set("Set-Cookie", `lang=${lang}; Path=/; Max-Age=2592000; SameSite=Lax`);
    // 避免中间缓存变体爆炸：不对 Accept-Language 设 Vary
    res.headers.set("Cache-Control", "private, max-age=0, no-store");
    return res;
  }
};

CDN 侧建议设置：

Tiered Cache 打开，源站压力骤降。

Cache Rules：

• *.js/*.css/*.woff2/*.svg/*.jpg/*.png/*.webp → Cache Everything，Edge TTL 30 天，stale-while-revalidate=86400。
• /*（HTML）→ Cache，Edge TTL 10～30 分钟（首屏可控），配合按语言前缀缓存键。

WAF/速率限制：对 /api/checkout、/login 等启用更严格规则。

只允许 CDN 回源：源站 Nginx 仅允许 Cloudflare IP 网段（下面有示例）。

源站（香港）落地：Debian 12 安装与服务编排

安装基础组件：

apt update
apt install -y nginx-full libnginx-mod-http-geoip2 geoipupdate varnish \
  certbot python3-certbot-nginx redis-server \
  prometheus-node-exporter jq

GeoIP 数据定时更新（/etc/GeoIP.conf 里写好账号，使用 GeoLite2 免费库）：

# 每天 3:15 更新国家库
echo '15 3 * * * root /usr/bin/geoipupdate -v || true' > /etc/cron.d/geoipupdate

Nginx：反代 + 源站静态 + 原地微缓存（可选）

缓存路径与 Key 区分（/etc/nginx/conf.d/cache.conf）：

proxy_cache_path /var/cache/nginx/static levels=1:2 keys_zone=STATIC:10m max_size=30g inactive=60m use_temp_path=off;
proxy_cache_path /var/cache/nginx/html   levels=1:2 keys_zone=HTML:50m  max_size=10g inactive=30m use_temp_path=off;

GeoIP2 + 语言映射（/etc/nginx/snippets/geo_lang.conf）：

geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
    $geoip2_cc default=US source=$remote_addr country iso_code;
}
map $geoip2_cc $geo_lang {
    default en;
    HK zh-hk; MO zh-hk; CN zh-cn; TW zh-tw; JP ja; KR ko; RU ru;
}
# Cookie 优先
map $cookie_lang $req_lang {
    default $geo_lang;
    "~^en$"     en;
    "~^zh-hk$"  zh-hk;
    "~^zh-cn$"  zh-cn;
    "~^zh-tw$"  zh-tw;
    "~^ja$"     ja;
    "~^ko$"     ko;
    "~^ru$"     ru;
}

只允许 CDN 回源（Cloudflare 为例，IP 段请定期更新；也可用 ipset）：

# /etc/nginx/snippets/allow_cdn.conf
allow 173.245.48.0/20;
allow 103.21.244.0/22;
# ...(其余段省略)
deny all;

站点主配置（/etc/nginx/sites-available/shop.conf）：

server {
    listen 80;
    server_name shop.example.com;

    include snippets/allow_cdn.conf;

    # 只允许 CDN 来，非 CDN 一律 403（调试时可临时放开）
    if ($allowed != 1) { return 403; }

    # ACME
    location /.well-known/acme-challenge/ { root /var/www/letsencrypt; }

    # 强制 HTTPS 由 CDN 终止，这里仅回源 HTTP，但要正确识别 X-Forwarded-Proto 防止重定向循环
    set $proto $http_x_forwarded_proto;
    if ($proto = "") { set $proto "http"; }

    include snippets/geo_lang.conf;

    # 语言前缀路由：/en,/zh-hk 等。后端应用以该前缀输出对应语言页面。
    location ~ ^/(en|zh-hk|zh-cn|zh-tw|ja|ko|ru)(/.*)?$ {
        # 静态资源长缓存
        location ~* \.(?:js|css|woff2|svg|png|jpe?g|webp)$ {
            proxy_cache STATIC;
            proxy_cache_key "$scheme://$host$uri";
            proxy_cache_valid 200 301 302 30d;
            add_header Cache-Control "public, max-age=2592000, immutable";
            proxy_pass http://app_backend;
        }

        # HTML 微缓存（源站，配合边缘缓存可选开启）
        location / {
            proxy_cache HTML;
            proxy_cache_key "$scheme://$host$uri$is_args$args";
            proxy_cache_valid 200 10m;
            proxy_ignore_headers Set-Cookie;
            proxy_no_cache $http_cookie ~*"(session|cart|auth)";
            add_header X-Req-Lang $req_lang;
            proxy_set_header X-Forwarded-Proto $proto;
            proxy_set_header Host $host;
            proxy_pass http://app_backend;
        }
    }

    # 后台、API 一律不缓存
    location ^~ /admin/ { proxy_pass http://app_backend; }
    location ^~ /api/ { proxy_pass http://app_backend; }

    # 其余直接交给 Worker 做语言前缀归一，这里兜底给英文
    location / {
        return 307 /en$request_uri;
    }
}

upstream app_backend {
    server 127.0.0.1:8080; # 由 Varnish 监听或应用直出（下节说明）
    keepalive 64;
}

要点：

• 不使用 Vary: Accept-Language，用路径前缀 + lang Cookie统一。
• 微缓存仅对未登录/未带购物车的请求生效。
• Cloudflare → 源站使用 X-Forwarded-Proto，避免重定向死循环。

Varnish 7：在 Nginx 前或后做“HTML 硬防抖”

我在 Nginx 前置了 Varnish（:80 → Varnish → :8080 Nginx → 应用），把碎片参数剔除、构建稳定 hash key、为 HTML 定 TTL/stale。

systemd 与监听（/etc/default/varnish）：

DAEMON_OPTS="-a :80 \
 -T 127.0.0.1:6082 \
 -f /etc/varnish/default.vcl \
 -s malloc,6G"

VCL（/etc/varnish/default.vcl）：

vcl 4.1;

backend app {
  .host = "127.0.0.1";
  .port = "8080";  // Nginx
  .first_byte_timeout = 30s;
  .between_bytes_timeout = 30s;
}

sub vcl_recv {
  # 去掉营销参数，避免 key 碎片化
  if (req.url.qs) {
    set req.url = querystring.remove(req.url, "utm_source|utm_medium|utm_campaign|utm_term|utm_content|gclid|fbclid");
  }

  # 登录/购物车/结算不缓存
  if (req.url ~ "^/(?:en|zh-hk|zh-cn|zh-tw|ja|ko|ru)/(?:account|checkout|cart)") {
    return (pass);
  }
  if (req.http.Cookie ~ "(session|cart|auth)") {
    return (pass);
  }

  # 仅 GET/HEAD 可缓存
  if (req.method != "GET" && req.method != "HEAD") {
    return (pass);
  }

  return (hash);
}

sub vcl_hash {
  hash_data(req.url);

  # 以语言前缀区分变体（Worker 已加前缀）
  if (req.url ~ "^/(en|zh-hk|zh-cn|zh-tw|ja|ko|ru)/") {
    set req.http.X-URL-Lang = regsub(req.url, "^/([^/]+)/.*", "\1");
    hash_data(req.http.X-URL-Lang);
  } else {
    hash_data("en");
  }
}

sub vcl_backend_response {
  if (bereq.url ~ "\.(?:js|css|woff2|svg|png|jpe?g|webp)$") {
    set beresp.ttl = 30d;
    set beresp.http.Cache-Control = "public, max-age=2592000, immutable";
  } else {
    set beresp.ttl = 10m;
    set beresp.grace = 1h;   # 源站偶发异常允许过期命中
    set beresp.keep = 1h;
  }

  # 不让下游看到 Set-Cookie（防止缓存污染）
  if (beresp.http.Set-Cookie) {
    set beresp.ttl = 0s;
    unset beresp.http.Set-Cookie;
  }
}

sub vcl_deliver {
  set resp.http.X-Cache = obj.hits > 0 ? "HIT" : "MISS";
}

要点：

• querystring.remove 过滤营销参数；
• grace 结合 CDN 的 stale-while-revalidate，用户“不感知”源站瞬时抖动；
• 语言维度放在 URL 前缀，hash 清晰。

应用侧配合：语言前缀与资源组织

模板/路由按 /en/… /zh-hk/… … 组织；静态资源用绝对路径，确保不同语言共用同一份版本化静态文件（/assets/app.abc123.js）。

多语言文案构建期打包（SSR）或运行期加载，但接口输出默认不含用户态信息，确保 HTML 可缓存。

登录态、购物车、结算页独立路由、不缓存。

证书与安全

• 证书在 CDN 终止，源站与 CDN 间可走 HTTP（内网/专线更佳）。
• 源站 Nginx 只放行 CDN IP 段，业务端口对公网“看起来不存在”。
• Fail2ban 监控应用登录接口，异常速率触发 由 CDN 回源 Header 识别的标记，进一步在 WAF 封禁。

典型缓存规则矩阵（我线上使用过）

部署步骤（一次性跑通）

• DNS 切到 CDN，开启 WAF/HTTP/3/Tiered Cache。
• 部署 Worker（或其他边缘函数），绑定 shop.example.com。
• 源站安装 Nginx/Varnish，按上文配置启用；仅放行 CDN 回源。
• 应用适配语言前缀路由；对未登录页输出可缓存响应；接口分路径。
• 证书：CDN 托管证书；源站仅需回源证书（如需 mTLS）。
• 观测：接入 Node Exporter、Nginx/Varinish access log，打通到 Loki/ELK 或 GoAccess。
• 灰度：用 CDN 的路由规则，将 10% 流量先打到新架构，观察 TTFB/命中率/错误率，再全量。

线上“坑”与我的现场处置

重定向死循环

• 表现：/en/ 被再次 307 到 /en/en/。
• 原因：Worker 前缀检查过宽 + 源站错误识别 X-Forwarded-Proto 触发 301。
• 修复：Worker 中 hasPrefix 精准匹配；Nginx 设置 proxy_set_header X-Forwarded-Proto $proto; 并从 CDN 获取正确的 X-Forwarded-Proto。

缓存污染（Set-Cookie 泄露）

• 表现：偶发“已登录用户看到别人昵称”。
• 原因：某个列表页错误发送了 Set-Cookie；被缓存层命中。
• 修复：Varnish vcl_backend_response 硬性 unset Set-Cookie；应用修复逻辑，登录态页面独立路径。

命中率低（UTM 碎片化）

• 表现：活动期 HTML 命中率跌到 20% 以下。
• 修复：Varnish 移除 utm_*、gclid/fbclid；命中率回升至 65%+。

拉美 TTFB 高

• 表现：巴西/智利 TTFB > 2.5s。
• 修复：开启 Tiered Cache + Argo 智能路由（可选），边缘中转命中；源站回源量下降 60%+，TTFB 稳定 < 900ms。

Brotli 级别过高导致 CPU 顶

• 表现：静态大文件传输时 CPU 飙升。
• 修复：把 Nginx brotli_comp_level 从 6 降到 4，并让 CDN 做压缩优先；源站只压缩 HTML/JSON，小图不压缩。

GeoIP 库过期

• 表现：个别国家误判语言。
• 修复：geoipupdate 定时更新；Worker 以 Cookie 优先，Accept-Language 次之，GeoIP 再次之。

图片适配（WebP/AVIF）引入 Vary

策略：使用 CDN 的图片自动优化，在边缘根据客户端 Accept 协商；源站不做格式协商，避免 Vary。

真实效果（来自我那晚后的 7 天对比）

说明：命中率/TTFB 受活动与品类波动，上表是我截取的相同自然周、相近流量水平的中位数/均值。

观测与排障：我习惯的“可证据链”

Nginx 日志格式（/etc/nginx/snippets/logfmt.conf）：

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" "$http_user_agent" '
                'CF-Ray:$http_cf_ray CF-Cache:$upstream_http_cf_cache_status '
                'Lang:$req_lang Geo:$geoip2_cc '
                'Up:$upstream_status/$upstream_response_time';
access_log /var/log/nginx/access.log main;

我看三样东西：

• 边缘命中：CF-Cache-Status（CDN） + X-Cache（Varnish）；
• 地域分布：cf-ray 与 Geo；
• 失败请求 TopN：5xx、超时、Pass 比例。

压测与回滚

压测用 wrk/hey 对 /en/、/ja/ 等路径，禁用 Cookie，先打 CDN，再直打源站，比较 TTFB 与吞吐。

回滚策略：
1）CDN 侧一键停用 Worker，恢复原路径；
2）Cache Rules 切回仅静态缓存；
3）Varnish 旁路，Nginx 直连应用。
整个过程不需要应用重启，5 分钟内可完成。

成本与容量（我的账面体验）

我会给后来者的 8 条建议

• 先统一 URL 语言前缀，再谈缓存策略。
• CDN 能做的尽量在边缘做：重写、限流、图片优化。
• HTML 缓存敢于开，用灰度 + grace + stale-while-revalidate 扛抖动。
• 缓存键最忌不确定性：拒绝 Vary: Accept-Language。
• 只让 CDN 回源，源站“消失在公网”。
• 数据可证据：日志、指标、剖析，直达问题根因。
• 把营销参数切干净，旺季命中率就稳。
• Always be rolling back：设计之初就想好撤退路径。

从“被动救火”到“能量守恒”

天快亮时，我从机柜前的地上站起来，窗外的集装箱车开始排队。GoAccess 的命中率曲线终于像心电图一样平稳，拉美买家的工单也停了。那一刻我知道，这套“语言前缀归一 + 边缘缓存 + 源站微缓存”的组合拳，不是某个框架的魔法，而是一次次把“变量”变“常量”的耐心活儿。
后来每逢大促，我都会先去机房走一圈，摸一摸那台“会发热、会喘气”的 Origin 机器。它像一位沉默的门将，把来自世界的请求挡在边缘，把可预期留给团队——这，才是我最喜欢的现场运维的温度。

附：可直接拷贝的关键文件清单

• /etc/nginx/conf.d/cache.conf（缓存路径）
• /etc/nginx/snippets/geo_lang.conf（GeoIP+语言映射）
• /etc/nginx/snippets/allow_cdn.conf（只允许 CDN 回源）
• /etc/nginx/snippets/logfmt.conf（可观测日志）
• /etc/nginx/sites-available/shop.conf（站点主配置）
• /etc/default/varnish、/etc/varnish/default.vcl（Varnish 微缓存）
• Cloudflare Worker index.js（语言归一脚本）