awk '{print $1}' access.log | sort | uniq -c | sort -nr | head
回调白名单只加了渠道公告的 4 个出口 IP，上 CDN 后回调全部 403，日志里来源是 CDN 回源段。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：请求先到 CDN 再回源，应用看到的源 IP 是 CDN 节点而不是渠道出口。白名单没覆盖回源段，合法请求被挡在外面。
「回调 IP 白名单」改完先别急着全量，挑一台机器放半天，真有问题这段时间就能看出来。同类问题如果隔一段时间又出现，多半是某个定时任务或重启流程把改动冲掉了。
把这次用到的命令存进笔记，比记住结论有用，换个环境还能照着走。改完隔一天再看一次，当场正常不代表能稳住。
测试环境和线上的差别，往往就在版本号和那几行被忽略的配置上。
处理上按这个顺序：从日志统计实际来源 IP 段；把 CDN 回源段加进白名单 或改取回源头里的真实 IP；只信任自家 CDN 的可信头；用渠道重发验证 403 消失。
确认没问题再收工，回调返回 200 来源 IP 落在白名单段内 403 计数为 0。