Cloudflare 1010、403、WAF 拦截，怎么区分是源站还是 Cloudflare

Cloudflare 可能在请求到达源站之前就拦截，因此源站 access log 里完全没有记录。排查这类问题要同时看 Cloudflare 返回特征和源站日志，而不是只看浏览器页面。

一、为什么会出现这个问题

• 错误可能由 Nginx、Cloudflare、应用网关、第三方平台或真正的模型上游任意一层返回。
• 代理 read timeout、buffering、连接复用等默认值并不适合 AI 长请求。
• 流式 SSE 在中间层被缓存、提前关闭或事件格式被改写。
• 只看客户端最后一行错误，无法判断真正的故障来源。

二、推荐的排查顺序

1. 确认错误来自哪一层

保留响应头、request id、Cloudflare Ray ID、Nginx access/error log 和应用日志，同一时间点对齐分析。

2. AI 路由单独配置

SSE、长文本、Agent、视频任务不要直接套普通网站的 timeout 和 buffering。对 /v1/ 等接口单独设置更容易维护。

3. 只对暂时性错误重试

502/503 等可以有限重试；401、403、参数错误等确定性问题不应该盲目重试。

三、可以直接复制的排查示例

tail -f /var/log/nginx/access.log /var/log/nginx/error.log

重点对比：
- 客户端发生错误的精确时间
- Cloudflare Ray ID
- 源站是否有对应请求
- 返回 Content-Type 是 JSON 还是 HTML

四、使用建议

API 域名不要直接套网页端最激进的 Bot 策略。应按路径、认证方式精确放行，而不是关闭所有安全防护。