高防或 CDN 能否发挥作用，前提是攻击流量无法绕过清洗入口直接命中源站。源站 IP 一旦公开，仅修改 DNS 往往不够。
确认暴露路径
- 历史 DNS 记录和证书透明日志。
- 网站源码、错误页和调试接口。
- 邮件头、第三方回调和监控探针。
- 旧子域、测试环境和直连 IP 链接。
限制直连入口
源站防火墙应只接受可信 CDN 或高防回源地址，并结合令牌、mTLS 或其他可验证机制。单纯检查 Host 头无法证明请求来自可信边缘。
评估是否需要更换 IP
如果攻击者已经掌握源站地址，仅增加白名单仍可能受到扫描或从其他入口进入。需要评估迁移成本、证书、数据库、第三方白名单和回滚时间。
通知与验证
同步更新监控、备份、邮件和接口调用方，避免旧 IP 下线后出现隐性故障。切换后从外部网络验证直连确实失败，而正常回源和业务接口保持可用。