www二级域名：源站正常而边缘节点异常时应保留哪些证据
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /4c4f3bdfd707.html
📄
www二级域名：源站正常而边缘节点异常时应保留哪些证据
直接回答：当源站直接访问正常、但通过 www 二级域名访问出现异常时，应优先保留能证明“差异发生在边缘链路”的证据，而不是只保留源站日志。核心证据包括带时间的请求样本、响应头与状态码、DNS 解析结果、TLS 握手信息、边缘节点标识、缓存命中状态、回源记录，以及源站与边缘节点在同一时刻的对照结果。下面用一个假设情境说明取舍和动作。
假设情境：源站正常，www 二级域名却间歇失败
假设某站点源站直接返回 200，但用户通过 www 二级域名访问时，部分请求返回 502，另一些请求返回旧页面。此时有两种常见做法：一是立即刷新边缘缓存并重启边缘服务，二是先冻结变更并采集证据。两种做法都可能成立，但条件不同。
如果异常正在快速扩大、影响面未知，先恢复服务更合理，但恢复动作本身会改变现场。此时至少要在操作前保存一份请求样本、响应头和边缘节点日志，否则事后无法区分是缓存问题、回源问题还是 TLS 问题。如果异常只影响少量路径、业务可容忍，先采集证据更合理，因为缓存刷新和重启会清掉可用于判断的中间状态。
需要保留的第一组证据：请求与响应样本
不要只记录“打不开”。应保留完整请求链路中可复查的字段：
- 请求时间，精确到秒，并注明时区。
- 请求的完整 URL，包含协议、主机名、路径和查询参数。
- 请求方法、请求头中的 Host、User-Agent、Accept-Encoding、Cookie 摘要。
- 响应状态码、响应头中的 Cache-Control、Age、Via、X-Cache、Server、Content-Length。
- 响应体摘要或前若干字节，用于判断返回的是源站内容、边缘错误页还是旧缓存。
这些字段能帮助区分三种原因：边缘节点返回自己的错误页、边缘节点返回了过期缓存、边缘节点回源失败。若响应头里出现边缘节点标识和缓存状态，应原样保留，不要只摘录状态码。
需要保留的第二组证据：DNS 与 TLS 握手信息
www 二级域名通常通过 CNAME 指向边缘服务。源站正常不代表解析和握手正常。应保留：
- 权威 DNS 与递归 DNS 的解析结果，包括 CNAME 链和最终 A/AAAA 记录。
- 解析时间与 TTL，便于判断是否处于解析切换窗口。
- TLS 握手结果：证书链、SNI、协议版本、加密套件、握手失败原因。
- 不同网络位置的解析与握手对照，例如办公网、移动网络、云主机。
如果只有部分网络失败，而源站直连正常，优先怀疑边缘节点调度、DNS 解析差异或中间网络，而不是源站应用。此时保留不同网络的对照结果，比反复刷新本地 DNS 更有判断价值。
需要保留的第三组证据：边缘节点与回源记录
边缘节点异常时，边缘侧日志往往比源站日志更关键。应保留：
- 边缘节点标识、机房或区域信息、节点角色。
- 缓存命中、回源、回源失败、回源超时等状态。
- 回源请求的源站地址、回源协议、回源 Host、回源响应状态。
- 边缘节点处理耗时、排队耗时、回源耗时。
- 同一时刻源站访问日志中对应请求的记录，用于对照。
如果边缘日志显示回源成功但用户收到错误页，问题更可能在边缘响应处理或缓存写入；如果边缘日志显示回源失败，而源站日志没有对应请求，问题更可能在边缘到源站的网络或回源配置。这个区分会直接影响下一步：前者应检查边缘规则和缓存键，后者应检查回源链路和源站放行策略。
两种做法的选择条件与代价
先恢复还是先取证，取决于三个条件：影响面是否继续扩大、异常是否可复现、证据是否会被操作清除。
- 影响面扩大且无法快速定位：先执行最小恢复动作，例如只刷新受影响路径的缓存，而不是全量刷新。代价是部分现场丢失，因此操作前必须保存请求样本和边缘日志。
- 异常可复现且影响可控：先按同一 URL、同一网络、同一时间窗口重复请求，保存对照结果。代价是恢复时间延后，但能避免把边缘问题误判为源站问题。
- 证据只存在于内存或临时状态：先导出再操作。代价是导出期间异常可能持续，但比事后无法复查更可控。
一个实际动作是：在刷新缓存前，先对同一 URL 连续发起多次请求，分别记录响应状态、响应头和边缘节点标识，然后只刷新其中一条路径。刷新后再次请求同一 URL，对比刷新前后的响应差异。如果刷新后恢复正常，说明缓存状态与异常相关，但仍需保留刷新前样本，才能判断是缓存过期、缓存键错误还是回源失败。如果刷新后仍异常，则下一步应转向回源链路和 TLS 握手，而不是继续反复刷新。
证据整理时容易出现的误判
请求量、抓取量或某类日志归零，不能单独证明边缘节点已恢复正常。它还可能是因为监控采样停止、日志轮转、流量被切换到其他节点，或异常路径暂时没有被访问。应把日志数量与可复现请求、响应头、边缘节点标识放在一起判断。
另外，robots.txt 的抓取限制不等于可靠的索引移除，站点地图不保证收录，HTTPS 也不保证安全无漏洞或排名。这些原则在排查 www 二级域名异常时同样适用：不要把“源站可访问”或“证书有效”当成边缘链路正常的充分证据。
最终应形成一份可交接记录：异常时间线、请求样本、DNS 与 TLS 结果、边缘节点日志、源站对照记录、已执行动作及其结果。这样下一位处理者才能在不重复破坏现场的前提下继续判断。
