宝塔面板8.x不支持CDN来源IP解析和内置CDN管理，导致访客IP显示为CDN节点IP、静态资源缓存失效、反向代理缓存权限错误及防火墙CDN模式无效，根本原因是版本能力缺失。
宝塔面板 8.x 版本不支持内置 CDN 管理或“CDN来源IP解析”功能（该功能是 10.x+ 版本才加入的），直接开启 CDN 后，X-Forwarded-For 会被丢弃、日志记录全是 CDN 节点 IP、静态资源缓存失效——这不是配置错了，是版本能力缺失导致的必然结果。
为什么宝塔 8.x 开启 CDN 后访客 IP 全变成 CDN 节点 IP
8.x 的 Nginx 配置模板里默认没加 set_real_ip_from 和 real_ip_header，即使你手动在站点配置中添加，也容易被宝塔自动生成的全局规则覆盖。更关键的是：宝塔 8.x 的日志格式定义（log_format）写死用 $remote_addr，而它此时已是 CDN 回源 IP，不是用户真实 IP。
- 现象：
access.log里所有请求都显示为116.251.128.0这类 CDN 段 IP，无法做地域统计或封禁 - 根本原因：宝塔 8.x 不识别 CDN 请求头，也不提供“信任 IP 段 + 替换 remote_addr”的联动机制
- 临时解法：只能手动改 Nginx 主配置文件（
/www/server/nginx/conf/nginx.conf），在http块开头插入：
log_format main '$http_x_forwarded_for - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" "$http_user_agent"';
再配合 set_real_ip_from 规则，但每次宝塔更新或重载配置都可能被覆盖。
静态资源缓存失效：8.x 的「伪静态」缓存开关形同虚设
宝塔 8.x 的「启用静态文件缓存」选项，本质只是在 location 块里加了 expires 7d;，但它不控制 Cache-Control 响应头，也不影响 CDN 的缓存决策逻辑。而主流 CDN（如 Cloudflare、阿里云 CDN）优先认 Cache-Control，忽略 Expires。
- 后果：浏览器看到
Expires，但 CDN 回源频繁，命中率低于 10% - 必须手动补：
add_header Cache-Control "public, max-age=31536000";到对应location ~ \.(js|css|png|jpg|gif|woff2)$块内 - 注意：如果站点开了 HTTPS 且用了自签名或旧证书，部分 CDN（如腾讯云）会拒绝回源，报 521 错误——得先确保源站 SSL 有效
反向代理自建 CDN 时，proxy_cache 在 8.x 下极易权限失败
宝塔 8.x 默认没创建 /var/cache/nginx 目录，也没自动赋权。你照着教程加了 proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=mycache:100m;，重启 Nginx 后日志里满屏 open() "/var/cache/nginx/" failed (13: Permission denied)。
- 解决步骤（缺一不可）：
- 执行
mkdir -p /var/cache/nginx - 确认 Nginx 运行用户：
ps aux | grep nginx，通常是www或nobody - 执行
chown -R www:www /var/cache/nginx（把www换成你实际的用户） - 在站点配置的
location /块里，除了proxy_cache，还必须加proxy_cache_use_stale error timeout updating http_500;，否则 CDN 节点偶发超时就会穿透到源站
别碰「CDN 模式」防火墙开关——8.x 的这个按钮是假的
宝塔 8.x 防火墙插件里的「CDN 模式」，只改了 iptables 规则放行常见 CDN 段（如 Cloudflare 的 IP 段），但它不感知你实际用的是哪家 CDN，也不动态更新 IP 列表。更麻烦的是：它默认只放行 IPv4，而 Cloudflare 等已大规模启用 IPv6 回源，结果就是——IPv6 回源请求全被拦截，源站收不到请求，CDN 持续 502。
- 真实做法：关掉这个开关，改用 Nginx 层限流 + 白名单
- 在站点配置的
server块里加：
if ($http_x_forwarded_for !~ ^(173\.245\.48\.0/20|103\.21\.244\.0/22|103\.22\.200\.0/22|103\.31\.4\.0/22|141\.101\.64\.0/18|108\.162\.192\.0/18|190\.93\.240\.0/20|188\.114\.96\.0/20|197\.234\.240\.0/22|198\.41\.128\.0/17|162\.158\.0\.0/15|104\.16\.0\.0/12|172\.64\.0\.0/13|131\.0\.72\.0/22)$) {
return 403;
}
这段只允许 Cloudflare 官方 IP 段回源，比防火墙插件更准、更可控，也兼容 IPv6（只要你在 $http_x_forwarded_for 里能拿到）。
宝塔 8.x 配 CDN 的最大陷阱，不是不会配，而是它把「配置生效」这件事藏得太深：Nginx 配置被覆盖、日志字段写死、缓存头不输出、防火墙白名单过期——每个环节都在等你手动补漏。升级到 10.x 是最省事的解法；若必须卡在 8.x，就别信任何一键开关，所有关键路径都得自己盯住日志、抓包验证、逐行检查响应头。
