AWS CloudFront异常：不同环境POST/GET请求返回504与403错误排查求助

一、优先排查AWS CloudFront配置问题 #

因为出现了明确的CloudFront 403地域拦截提示，且504网关超时大概率和CDN到源站的链路有关，先从这里入手：

• 验证地域限制规则细节

  1. 登录AWS控制台进入CloudFront分发配置，找到「Geo Restrictions」模块，确认是「Allow list」模式，且你的国家/地区代码是正确的ISO 3166-1 alpha-2格式（比如中国填CN，不是中文名称）。
  2. 检查关联的WAF规则：进入WAF控制台，查看CloudFront绑定的Web ACL，确认是否存在额外的地理位置拦截规则，或是误触发的IP黑名单规则。
  3. 核对缓存行为配置：针对状态检查接口的路径（比如/health），确认缓存策略、请求转发规则是否正确，有没有导致请求无法穿透到源站的配置。

• 排查CDN到源站的连通性

  1. 查看CloudFront监控指标：在控制台「Monitoring」标签页，重点看5xx Error Rate、Origin Response Time、Origin Connection Failures这几个指标，判断是源站无响应还是CDN链路问题。
  2. 绕过CDN直接访问源站：用Postman或浏览器直接请求Spring Boot服务器的公网IP/域名，如果能正常返回，说明问题锁定在CloudFront配置；如果还是504，再转向源站排查。
  3. 检查源站安全组/网络ACL：如果是EC2部署，确认安全组是否允许CloudFront的IP段访问服务端口（如80/443），可以用telnet测试端口是否能连通。

二、排查Spring Boot服务及服务器环境问题 #

如果绕过CloudFront后仍有异常，或确认CDN配置无问题，再检查服务本身：

• 确认服务运行状态

  1. 在Windows服务器上执行netstat -ano | findstr "你的服务端口"，查看端口是否处于LISTENING状态，确保服务正常启动。
  2. 拉取Spring Boot日志：重点看请求接收日志，判断请求是否到达服务、有没有处理异常，要是日志里完全没记录请求，说明请求根本没到服务层面。

• 排查服务器网络拦截

  1. 检查Windows防火墙/安全软件：确认没有出站/入站规则拦截请求，或是限制了Postman、Firefox的访问。
  2. 测试服务器网络连通性：用ping测试公网DNS可用性，用telnet测试CloudFront节点的连通性，确认网络链路无中断。

• 验证代码变更的隐性影响

  1. 对比线上代码和本地运行版本的差异，重点检查过滤器、拦截器、全局异常处理器有没有新增变更——比如不小心加了IP白名单但配置错误。
  2. 在本地模拟CloudFront的IP访问服务，测试状态检查接口是否正常响应，排除代码层面的地域/IP拦截逻辑。

三、快速定位的实用技巧 #

• 用curl -v命令在Windows和Ubuntu环境分别请求接口，查看完整的请求响应头和错误详情，对比差异点。
• 开启CloudFront访问日志，下载日志文件后查看请求的状态码、源站响应时间、客户端IP等信息，精准定位出错环节。

内容的提问来源于stack exchange，提问作者Ángel Fas