在出海业务和全球化部署中，Tencent EdgeOne 国际版凭借其强大的边缘加速和安全防护能力，成为了许多开发者的首选。然而，很多开发者在接入后往往会忽略一个致命的安全隐患：源站真实 IP 暴露。
今天，我们就来聊聊 EdgeOne 国际版中一个极其好用但常被忽视的公共 API 接口：https://api.edgeone.ai/ips，看看它是如何帮助我们实现源站“隐身”的。
为什么需要这个 API？
当我们把业务接入 EdgeOne 后，正常的流量路径是：访客 -> EdgeOne 边缘节点 -> 源站服务器。
EdgeOne 就像是一个超级“安检口”，帮我们拦截了 DDoS 攻击、恶意爬虫和各类 Web 漏洞。但如果黑客通过某些手段（如历史 DNS 解析记录、子域名探测）找到了你源站的真实 IP，他们就可以直接绕过 EdgeOne 发起攻击。此时，EdgeOne 的所有防护将瞬间失效，你的服务器只能“裸奔”。
为了彻底解决这个问题，我们需要在源站服务器上配置防火墙白名单：只允许来自 EdgeOne 的流量访问，拒绝所有其他 IP 的直接请求。而 https://api.edgeone.ai/ips 这个接口，就是获取这些合法 IP 列表的官方钥匙。
接口功能与优势
作为 EdgeOne 国际版（域名 edgeone.ai）提供的官方公共接口，它的主要作用是实时返回 EdgeOne 全球边缘节点及回源节点的 IP 地址列表。
对于出海企业和开发者而言，它的核心价值在于：
- 应对全球节点动态变化：国际版依托腾讯云在全球的庞大节点网络，IP 池不仅庞大，而且会不定期动态变更。
- 实现自动化安全运维：告别手动复制粘贴 IP 的低效操作，通过脚本定期拉取最新列表，实现源站安全策略的自动化更新。
实战：如何优雅地配置源站白名单？
在实际的运维场景中，强烈建议大家编写一个自动化脚本来完成这项工作。以下是具体的操作思路：
- 定时拉取 IP 列表：通过 Cron Job 等定时任务，定期（例如每三天一次）请求
https://api.edgeone.ai/ips接口，获取最新的 JSON 格式 IP 列表。 - 生成防火墙规则：将获取到的 IP 列表解析，自动生成 UFW、iptables 或云服务商安全组的白名单规则。
- 平滑重载规则：使用脚本自动重置并加载新的防火墙规则，确保业务不中断。
⚠️ 避坑指南：在编写自动化脚本时，务必做好容错处理。如果因网络波动导致 API 请求失败，脚本应保留原有的白名单规则，千万不要直接清空防火墙，以免误伤正常业务。
运维小贴士
除了使用 API 接口，如果你使用的是 EdgeOne 国内版，也可以结合腾讯云官方的 EnableOriginACL 等 API 来查询和管理回源 IP 网段。
最后，EdgeOne 的回源 IP 网段在变更前通常会通过站内信、邮件等方式提前通知。强烈建议大家在腾讯云消息中心配置好正确的消息接收人，并勾选“边缘安全加速平台 EO”的相关通知，做到有备无患。
希望这篇分享能帮助大家在享受 EdgeOne 极致加速的同时，也能把源站安全做到滴水不漏！如果你在对接接口或配置防火墙时遇到任何问题，欢迎在评论区留言交流。
