如何使用本教材
本书适合谁
本书是一部面向将AI与Web服务真正推向生产环境、确保其免受攻击与意外损害，并设计、构建与运维基础设施以使组织内外人员能够安全接入的工程师与管理者的专业教材。主要读者包括：曾使用编码智能体（Coding Agent）或现代Web框架编写过应用程序代码的全栈与后端工程师；需要在企业内部引入、部署并配置内部AI工具与研发网络（ZTNA与VPN）的基础设施及安全负责人；以及希望通过基础设施即代码（IaC）对多套环境进行一致性管控的DevOps与平台工程师。本书假定读者已具备相当于蓝带（AI应用构建者）或红带（LLM API开发者）水平的应用程序理解能力，并掌握Linux、计算机网络及云端部署的基础常识。只要具备上述背景，仅凭本书即可从头到尾完整掌握AI与云基础设施专项课程（AIN）的全部知识体系。
AI时代的基础设施虽然在表面上与传统Web基础设施相似，但在几个决定性环节上存在本质差异。第一，得益于编码智能体的普及，应用程序的新功能每天都能迭代发布数次，但只要有一个环境变量被意外混入客户端打包产物（Bundle），或者数据库漏配了一条行级安全（RLS）策略，全部客户数据就可能在短短几秒钟内彻底暴露。第二，由于大语言模型（LLM）采用流式响应（Streaming）且常伴随耗时较长的工具调用，无服务器函数（Serverless Function）的执行时长上限、地域（Region）部署位置以及数据库连接池（Connection Pooling）模式将直接决定服务的生死存亡。第三，在云控制台中依靠鼠标点击创建的配置随着时间推移都会演变为无人能够复现的“影子基础设施（Shadow Infrastructure）”，因此以Terraform为代表的声明式代码以及无需长期静态密钥的OIDC流水线已成为不可或缺的基本功。第四，保护企业内部维基、模型网关与研发数据库的方式，也正在迅速从传统的边界型VPN向出站专用隧道（Outbound Tunnel）、网格VPN（Mesh VPN）以及零信任网络访问（ZTNA）演进。
本书不涉及本地物理服务器的硬件维修或数据中心光缆铺设等物理层施工。相反，本书将紧密围绕当今AI与Web服务团队每天都必须面对的五个核心层级——托管式应用与数据平台（Vercel与Supabase）、基础设施即代码（Terraform与CI/CD）、全球DNS与边缘网络（Route 53与Cloudflare）、企业内部网络安全与远程接入（ZTNA与VPN的引入及部署），以及基础设施可靠性、密钥管理与故障应急响应——从底层运行原理到生产环境中的架构权衡与实务决策进行深入透彻的剖析。
本书结构
正文按照考试蓝图的五个知识领域依次展开，每个领域各设一章。
- 第1章 托管式应用与数据平台（基础：Vercel与Supabase） 探讨能够以最快速度上线产品的托管式平台内部工作原理与安全边界。内容涵盖Preview与Production环境隔离、
NEXT_PUBLIC_变量与仅限服务端使用的机密变量之间的暴露边界、部署保护（Deployment Protection）与自动化Webhook绕过机制、函数地域（icn1）与数据库物理距离的关系、Fluid Compute与流式传输、Supavisor事务模式（端口6543）与会话模式（端口5432）的差异、行级安全（RLS）中USING子句与WITH CHECK子句的作用机制、anon密钥与service_role密钥的信任边界分离、Auth重定向允许列表（Allowlist）以及私有Storage存储桶的签名URL（Signed URL）。 - 第2章 基础设施即代码与部署自动化（进阶：Terraform与IaC） 学习如何跨越手动点击配置（ClickOps）的局限，利用声明式代码全面管控基础设施。内容涵盖状态文件（
terraform.tfstate）的核心作用、S3远程后端与状态锁定（State Locking）、模块化设计与按环境隔离状态、精准解读terraform plan输出符号（~原地修改与-/+销毁重建）、prevent_destroy生命周期保护与moved/import声明块、防止状态文件内明文机密泄露的措施、配置漂移（Drift）检测与修复流程，以及通过GitHub Actions OIDC（AssumeRoleWithWebIdentity）构建无静态密钥的安全部署流水线。 - 第3章 全球DNS与边缘网络（高级：Route 53与Cloudflare） 设计用户请求在抵达源站服务器之前所经过的每一道网络关卡。内容涵盖Route 53的A、AAAA、CNAME与Alias记录（解决根域名Zone Apex限制）、路由策略（简单、加权、延迟、故障转移）与健康检查、实现零停机迁移的事前TTL缩短法则、DNSSEC与CAA记录、Cloudflare的代理模式（橙色云朵）与仅DNS模式（灰色云朵）、SSL/TLS加密模式（
Flexible模式引发重定向死循环的风险与Full (Strict)配合Origin CA及mTLS的标准实践）、WAF与速率限制（Rate Limiting）、防范个性化API与SSE流式响应发生缓存污染（Cache Poisoning）、以及借助Workers、Queues与AI Gateway实现模型流量可观测性与多供应商自动故障回退（Fallback）。 - 第4章 企业内部网络安全与远程接入（实战：ZTNA与VPN的引入及部署） 讲解如何将组织内部资产与远程办公环境安全连接起来的实战架构。内容涵盖传统边界型VPN的横向移动（Lateral Movement）风险与零信任架构（NIST SP 800-207）、无需开放任何入站防火墙端口的出站专用连接器（
cloudflaredCloudflare Tunnel）、基于WireGuard的网格VPN（Tailscale）中的子网路由器（Subnet Router）、DERP中继与最小权限ACL、解决与家用路由器网段（192.168.x.x等RFC1918）冲突的拆分隧道（Split Tunneling）、防止内部域名结构外泄的拆分视野DNS（Split-Horizon DNS）、IdP联动（SSO、MFA及通过SCIM自动回收离职人员权限）与设备姿态（Device Posture）核验，以及在向开发者终端与CLI工具（NODE_EXTRA_CA_CERTS、SSL_CERT_FILE）分发企业内部TLS检查根CA证书时避免引发工具故障的标准流程。 - 第5章 基础设施可靠性、密钥管理与故障应急响应 阐述在不中断线上服务的前提下持续运维生产系统的关键技术。内容涵盖双密钥（Dual-Key）零停机密钥轮换与紧急吊销、快照备份与时间点恢复（PITR）的RPO与RTO设计及定期恢复演练、使应用程序与数据库在滚动发布期间安全共存的Expand-Contract（并行变更）零停机模式迁移、基于OpenTelemetry的分布式追踪与敏感信息日志脱敏（Log Scrubbing）、费用与用量异常告警及硬性上限，以及故障隔离与回滚运行手册（Runbook）和无指责事后复盘（Blameless Postmortem）。
每一章均由完全相同的十个小节构成。通过学习目标与引言确立问题意识，在核心概念与深入阅读中剖析底层原理与高阶权衡取舍，随后在两个工作场景中跟随虚构组织经历具体的架构决策过程。接下来依次是考试与实际工作中最易踩坑的易错点、适合考前快速浏览的要点速览、用于核对原始出处的查阅官方文档、检验自身理解程度的自测（答案与解析见附录B），以及两项需要亲自动手编写配置与方案的实操练习。
考试概览
AI与云基础设施专项考核（AIN）要求在60分钟内完成35道题目。考查基本原理与单一配置正误的题目每题2分，需要综合考量多项约束条件（可用性、安全性、延迟、成本、发布顺序）并从中选出最优架构方案的分析型题目每题3分。换算为百分制原始分后达到75分及以上即为合格，成绩单上将同时显示原始分与1～9等级。免费练习题集包含10道题，限时25分钟。
| 章 | 领域 | 占比 | 核心关键词 |
|---|---|---|---|
| 第1章 | 托管式应用与数据平台（基础：Vercel与Supabase） | 20% | Preview/Production隔离、NEXT_PUBLIC_、icn1、Supavisor 6543对比5432、RLS USING/WITH CHECK、service_role、Storage签名URL |
| 第2章 | 基础设施即代码与部署自动化（进阶：Terraform与IaC） | 20% | 远程State与锁定、模块与环境隔离、plan（~对比-/+）、prevent_destroy、moved/import、状态安全、漂移、GitHub OIDC |
| 第3章 | 全球DNS与边缘网络（高级：Route 53与Cloudflare） | 25% | Alias对比CNAME、路由策略与健康检查、缩短TTL、Full (Strict)、WAF与防缓存污染、Workers、Queues、AI Gateway |
| 第4章 | 企业内部网络安全与远程接入（实战：ZTNA与VPN的引入及部署） | 20% | NIST SP 800-207、Cloudflare Tunnel、WireGuard与Tailscale子网路由器及DERP、Split Tunnel与RFC1918冲突、Split-Horizon DNS、SCIM、设备姿态、CA证书 |
| 第5章 | 基础设施可靠性、密钥管理与故障应急响应 | 15% | Dual-Key轮换、PITR与RPO/RTO、Expand-Contract迁移、OpenTelemetry与日志脱敏、费用告警、故障回滚运行手册 |
从各领域的分值占比来看，第3章占25%为最高，第1、2、4章各占20%，第5章占15%，但实际考题往往会跨越多个技术层级进行综合命题。例如，考查Cloudflare缓存规则的题目（第3章）会与Vercel的Cache-Control响应头以及Supabase认证Cookie（第1章）结合考查；而将内部研发数据库对外部网络隐藏的题目（第4章）则会与Terraform安全组变更（第2章）以及零停机连接切换（第5章）串联起来。因此，请不要把各章当作孤立的零件死记硬背，而应将其作为“用户请求经由DNS与边缘节点抵达应用与数据库、全程由代码进行声明式管控，并受到内网安全架构与可靠性运维体系严密保护的一个完整有机系统”来融会贯通地阅读。
题目是这样的
试卷由五种客观题型构成，所有题目均要求从五个选项（①～⑤）中选出最恰当的一项。
| 题型 | 试卷上的呈现形式 | 核心解题策略 |
|---|---|---|
| 单选 | 简短的故障或架构设计场景，配五个备选方案 | 找出能够同时满足场景中所有加粗约束条件（如：零停机、禁止开放入站端口、无服务器环境）的唯一选项 |
| 多选 | 从[题干选项]框的甲、乙、丙、丁中按指定数量组合 |
逐一评估每项措施的副作用（如：引发缓存污染、解除状态锁定、暴露明文密钥），先排除包含错误做法的组合 |
| 判断 | 从[题干选项]框的技术陈述中选出全部正确项的组合 |
陈述的前半部分（现象或配置）与后半部分（底层原理或导致的结果）必须全部准确，才算正确陈述 |
| 排序 | 将（甲）～（戊）操作步骤按执行先后顺序排列的五种方案 | 在零停机切换（先缩短TTL、先追加新密钥、先扩展数据库列）中，遵循“前一步完成后下一步才安全”的依赖顺序 |
| 匹配 | 将左侧的需求或故障现象与右侧的基础设施功能或配置配对 | 先锁定边界最清晰的确切配对（如：根域名别名 ↔ Route 53 Alias），再利用排除法缩小范围 |
在基础设施考核中，最常见的错误选项陷阱是**“表面上能让功能跑通，但破坏了安全边界或零停机约束的做法”**。例如，“遇到RLS策略报错时，直接在客户端使用service_role密钥发起调用来解决”、“在域名迁移当天才调低TTL并立即修改记录同时关停旧服务器”、“为了修改数据库列名，在发布新应用代码之前先直接执行ALTER TABLE RENAME COLUMN”、“将Cloudflare的SSL模式设为Flexible以省去配置源站服务器证书的麻烦”等选项，看似能立刻消除眼前的报错，实则会引发严重的数据泄露事故或全站服务中断。审题时请务必先问自己：“这个选项是否守住了生产环境的安全边界与高可用性？”
要点
解答排序题时，请牢记一条铁律：“不可逆的破坏性步骤永远排在最后一步执行”。无论是吊销旧版密钥、关停旧服务器、删除旧数据库列（Contract），还是将DNS的TTL恢复为默认值，都必须在确认全部流量与应用程序均已安全切换至新架构之后才能执行。
六周学习计划
以下为按照每天投入1小时、每周学习5天制定的推荐进度表。如果你已经具备丰富的云端运维实战经验，可以将第1～2周合并快速浏览，并将更多精力投入到第3～5周的内容中。
| 周次 | 学习范围 | 每周核心产出物 |
|---|---|---|
| 第1周 | 第1章 托管式应用与数据平台（Vercel与Supabase） | 环境变量分类审计表（NEXT_PUBLIC_对比服务端机密）、RLS USING/WITH CHECK策略草案、Supavisor连接字符串检查表 |
| 第2周 | 第2章 基础设施即代码与部署自动化（Terraform与IaC） | S3远程后端与状态锁定配置方案、terraform plan破坏性变更（-/+）审查清单、GitHub Actions OIDC信任策略JSON |
| 第3周 | 第3章 全球DNS与边缘网络（Route 53与Cloudflare） | 域名零停机迁移时间线（含事前缩短TTL）、Cloudflare Full (Strict)及动态API绕过缓存规则表、AI Gateway路由设计方案 |
| 第4周 | 第4章 企业内部网络安全与远程接入（ZTNA与VPN） | 内部资源ZTNA迁移架构图（Cloudflare Tunnel + Tailscale）、RFC1918网段冲突解决方案表、企业内部根CA开发环境分发指南 |
| 第5周 | 第5章 基础设施可靠性、密钥管理与故障应急响应 | Dual-Key密钥轮换操作规程、Expand-Contract三阶段迁移计划书、故障隔离与回滚运行手册及OTel日志脱敏规则 |
| 第6周 | 附录A～D总复习、自测题回顾、练习题集演练 | 不看正文独立写出30道自测题解答、完成易错点错题笔记整理 |
要点
每章末尾的实操练习经过专门设计，即便不在真实云账号中产生实际费用，也能让你亲手编写配置文件（HCL、SQL、JSON、DNS记录表、运行手册）。许多在阅读时觉得理所当然的细节——比如RLS的WITH CHECK条件，或者AssumeRoleWithWebIdentity中的sub声明匹配规则——只有亲自动手写一遍，才能立刻发现容易出错的盲点。
表述与出处原则
本书所讲解的云平台功能、配置选项与技术标准，均以2026年10月21日在各厂商官方文档中核实的内容为准。
- 产品名称、CLI命令、环境变量、HTTP请求头、配置键名以及SQL和HCL语法关键字均保留官方原文形式（例如
NEXT_PUBLIC_、x-vercel-protection-bypass、Supavisor、terraform.tfstate、prevent_destroy、Full (Strict)、cloudflared、NODE_EXTRA_CA_CERTS）。 - 技术术语首次出现时同时标注中文名称与英文原文，此后在全书中保持用词统一（例如：行级安全（Row Level Security, RLS）、零信任网络访问（Zero Trust Network Access, ZTNA）、时间点恢复（Point-in-Time Recovery, PITR）、并行变更（Expand-Contract））。
- 相比于套餐配额上限或控制台子菜单位置这类厂商频繁调整的细节，本书重点阐述架构原理、通信协议与安全边界等经得起时间考验的核心原则。
- 正文与工作场景中出现的公司、机构、服务名称、域名及故障案例均为服务于教学目的而虚构的设定。
- 代码块中的示例旨在清晰呈现核心配置结构；在将其应用于真实生产环境之前，请务必对照各章的查阅官方文档以及附录D所列的厂商最新文档进行核实。