已经有了阿里云OSS还需要开通CDN吗？

    单一的OSS模式，计费包括存储和外网流出费用，目前通常比较流行的方式是 OSS + CDN 的组合模式，OSS负责存储，CDN负责加速，那么只从流量费用的层面来说，采用 OSS + CDN 组合模式比单一OSS模式更加经济和省钱，当然，从安全角度来说采用 OSS + CDN 组合模式也更有优势。

图1 - OSS外网流量计费表

参考1：阿里云OSS定价_云产品价格

图2 -  CDN流量表

参考2：阿里云CDN定价_云产品价格

   

如果流量从OSS流向CDN，则OSS收费；CDN从OSS处获取资源后，用户访问CDN资源，则CDN收费，参考：阿里云CDN回源对象存储OSS计费规则

    为了简单和方便比较，我们假设忙时段（08:00 - 24:00）外网流量为1T，那么单一OSS模式的价格是 0.50 * 1000G = 500 元，采用 OSS + CDN 组合模式，如果只考虑 CDN 外网流出费用，不考虑OSS回源流量费，则只需要 0.24 * 1000G = 240元，因为只有 CDN 的分节点的缓存没有目标对象后，才会产生OSS 到 CDN 的 回源流量费，当你使用CDN之后，只有第一次访问这个文件会产生OSS的回源流量，只要你在CDN中设置的缓存足够久，每次访问的流量理论上几乎不经过 OSS，而只会产生CDN的流量费用，所以长期来说，OSS + CDN 组合模式更加经济。

    CDN除了能够快速提高网站访问速度外，还具有非常完善的网站安全保护功能：

• 防护功能（图3）：访问频次控制（CC攻击）和CDN联动DDos（DDOS攻击），IP黑白名单管理，Referer防盗链，URL鉴权方式防止流量被盗刷。
• 流量管理（图4）：设置带宽上限、设置带宽限速、设置实时监控、设置费用预警。

图3 - 防护功能

图4 - 流量管理

   

    所以 OSS + CDN 相对单一的OSS模式来说其实有更多的安全防护措施。网站上线前，一定要提前做好安全方面的防护工作，避免上线后网站被恶意盗刷流量，一般来说 OSS 和 CDN 的计费都是延时的，阿里云OSS也没有一键关闭的功能，如果没有进行流量监控和预警以及足够的安全防护的情况下，一夜之间就让一个刚起步的创业公司因为恶意攻击或流量盗刷就破产倒闭也不是危言耸听的。

    现实中，因为流量盗刷相关的惨痛案例非常多，这些案例经过笔者分析，大部分原因除了用户对安全问题没有足够的重视，另外就是没有充分理解和利用云产品CDN的相关安全机制来维护网站安全所导致的。

• 阿里云让我心寒了：一次无助无奈的业务经历
• 2个小时近9TB流量被盗刷！除了关停服务，还有其他招吗？
• 用户使用阿里云oss对象存储服务，流量被恶意盗刷，造成损失1.6万余元
• 关于我的阿里云OSS被盗刷20TB流量

    综上所诉，从经济和安全综合角度来评价，对有一定规模的中小网站来说，已经有了OSS后，还是非常有必要开通CDN 的。上面的案例是以为阿里云的OSS和CDN产品为例进行说明，其他比较成熟的云产品，例如腾讯云，其实也是同样的道理，另外，我们可以对多家云产品进行综合对后进行灵活的选择，例如：阿里云的OSS + 腾讯云的CDN（新用户6个月免费，每月还有免费额度，性价比较高），甚至还有一些免费的CDN产品也是可以考虑的。

其他参考：

高额账单风险警示-账单-CDN-流量-CDN-阿里云