源站该信谁：给 AI 中转站配上阿里云 ESA 的边缘能力

CDN 回源后，nginx 的 $remote_addr 记录的是边缘节点 IP，无法识别真实访客，导致审计、限流和 IP 白名单缺乏可靠身份依据。阿里云 ESA 可通过托管转换注入 ali-real-client-ip、地理位置及 Tls-Hash，并在 nginx 中信任 ESA 回源网段、读取真实客户端 IP。配置后可完善日志审计、来源限流和风控识别，减少自建 IP 地理库与边缘规则的维护。实测一周 28.7 万次请求，API 中转站占 8.6%，每次调用仍需确认来源可信；该方案更适合访客主要在国内、且源站确实经过 ESA 的站点。