云服务器只有3M带宽，我是怎么把个人图床和静态资源剥离到华为云OBS+CDN的

做个人项目或者写技术博客，最憋屈的事情之一就是云服务器那点可怜的小水管带宽。大部分低配轻量主机的公网带宽通常只有1M到3M，平时跑跑纯文字的API接口或者HTML页面还算凑合，但只要页面里塞进几张未压缩的高清截图、架构图，或者挂两个安装包供别人下载，带宽瞬间就会被占满。那段时间只要有两个访客同时打开带图的文章，页面转圈就要等上四五秒，连我自己连SSH终端都卡得一顿一顿的。

原本所有的图片都是直接上传到服务器本地磁盘，由Nginx做静态目录映射。上个月我终于下决心把这些资源彻底剥离出去，丢给华为云OBS对象存储，并在前面套了一层华为云CDN加速。折腾完不仅页面打开速度飞快，也省出了云服务器宝贵的出口带宽。这篇记录一下我一个人折腾迁移时摸索出来的几个关键注意项。

第一个容易踩的大坑是把OBS存储桶设置成了公网公开读取。
刚开始为了图省事，我建好OBS桶后顺手把桶权限改成了“公共读”，然后拿着对象的公网访问URL直接填进Markdown或者前端代码里。
后来仔细一算账吓出一身冷汗：OBS的公网下行流量是按量单独计费的，而且单价比CDN要贵得多。如果直接把对象存储的原始链接暴露在公网，一旦文章被爬虫扫到或者被人批量抓取，产生的公网流量账单会直接把人看懵，而且原生存储桶在应对突发并发时并没有节点缓存优势。
正确的做法是把OBS桶保持为“私有”，坚决不对外开放公开读取权限。然后在华为云CDN控制台添加加速域名，源站类型选择该OBS桶，并开启“OBS私有桶回源授权”。这样外部访问只能通过CDN域名进来，所有的图片和静态资源都会缓存在离用户最近的CDN边缘节点上，只有缓存未命中时CDN才会走内网专线找私有OBS拉取，既安全又大幅压低了流量成本。

第二个坑是防盗链和恶意刷流量的防御配置。
上了CDN之后速度确实快了，但如果完全不设防，你的CDN域名很容易被其他采集站或者聚合网站直接当成免费图床来盗链。
在华为云CDN后台有两道必须配上的安全闸门：
一是Referer防盗链。我把规则设为白名单模式，只允许我的个人主站、博客域名以及本地开发的localhost跨域引用图片，其他来源一律返回403拒绝；
二是单IP防刷限速。在安全配置里加上访问频次限制，限制单个IP每秒的最高请求数，防止恶意的压测爬虫直接把当月的免费CDN流量包刷穿。

第三个细节是静态文件的缓存命中率与版本控制。
刚把资源迁上去时，我发现有些图片的CDN命中率并不高，查日志发现很多请求头里带了Cache-Control: no-cache，或者根本没有定义过期时间，导致CDN节点频繁跑回OBS源站去重新拉取。
解决办法是在OBS控制台给对应的静态资源目录批量增加元数据（Metadata），显式指定Cache-Control字段为max-age=2592000（即缓存30天）。像图片、打包后的JS/CSS这类内容，一旦生成通常不会修改。
如果确实遇到文件内容需要更新的情况，千万别去覆盖同名文件然后天天手动去CDN控制台点“缓存刷新”，刷新生效不仅有延迟，配额也有限。更合理的做法是在文件名后加上哈希值或者时间戳版本号（比如logo_v2.png），靠改变URL自然触发CDN抓取最新文件，原本缓存的老文件在生命周期到了后会自动清理。

第四个痛点是本地写作和上传流程的打通。
把静态资源剥离出去后，最怕的是每次写文章插图变得麻烦：截图、打开浏览器、进华为云控制台、上传到桶、复制外链，这一套下来写文章的兴致早没了。
为了把体验拉回到“无感”，我在本地电脑上装了开源的PicGo图床工具，装上支持S3兼容协议或者华为云OBS的插件，配上一个只有PutObject权限的专用子账号密钥，绑定好自定义CDN域名。
现在写Markdown遇到需要插图的地方，直接按快捷键截屏并粘贴，工具在后台自动压缩图片、静默推送到云端OBS桶，并且直接在剪贴板里生成好带CDN域名的标准Markdown图片语法，用起来和以前直接存本地一样顺手。

迁移完这套架构后，我顺便把以前存放在服务器本地的几十兆图片全删了，给本就不宽裕的系统盘腾出了一大块空间。
现在看华为云主机的监控面板，服务器的带宽负载常年保持在个位数的极低水平，哪怕赶上文章被转发流量突增，受压力的也是外层的CDN边缘节点，原先卡顿转圈的问题彻底消失。
对于预算有限的独立开发者来说，小水管云主机用来跑纯粹的业务计算和逻辑接口，把所有吃带宽、耗磁盘的重型静态文件统统推给对象存储和CDN，是花最少的钱换取最高访问体验的最划算做法。