TL;DR
- Cloudflare 错误代码 520 表示 Cloudflare 收到了来自源服务器的空、未知或意外的响应。
- 典型原因包括源崩溃、格式错误或缺失的 HTTP 响应、过大的头部、被阻止的 Cloudflare IP 以及不正确的 HTTP/2 或认证源提取配置。
- 访问者可以重试并报告 Ray ID；只有网站所有者或托管服务提供商可以诊断源问题。
- 所有者应在更改设置之前保留 URL、时间戳、Ray ID、源日志、HAR 文件以及直接源比较。
什么是错误代码 520？
错误代码 520 是 Cloudflare 生成的 5xx 响应，表示源返回了一个空、未知或意外的响应。Cloudflare 的 官方错误 520 文档 将其与 Cloudflare 可以转发的正常应用 HTTP 状态区分开来。
错误页面确认请求已到达 Cloudflare。它本身并未确定具体的源故障。
Cloudflare 错误 520 的常见原因
| 原因 | 检查内容 |
|---|---|
| 源进程崩溃 | Web 服务器、应用程序、PHP、容器和内核日志 |
| 空或格式错误的响应 | 直接源响应头和协议跟踪 |
| 过大的头部或 cookie | 请求和响应头尺寸；重复的 cookie |
| 防火墙阻止 Cloudflare | WAF、主机防火墙、安全插件和允许列表 |
| 对源的 HTTP/2 不正确 | ALPN 和源 HTTP/2 配置 |
| 认证源提取不匹配 | Cloudflare 和源证书设置 |
| 容量耗尽 | CPU、内存、工作进程、连接、文件描述符 |
Cloudflare 目前注意到在常见的 520 触发条件中有 128 KB 的头部限制。将其视为实时平台限制并在依赖于自动化之前重新检查官方文档。
访问者如何修复错误代码 520
访问者无法修复源服务器，但他们可以提供有用的证据。
- 短暂等待后重新加载一次；不要创建激进的重试循环。
- 尝试私有窗口以排除过多或损坏的站点 cookie。
- 记录 Cloudflare 错误页面上显示的完整 URL、时间和时区，以及 Ray ID。
- 检查问题是影响某一页面还是整个站点。
- 将证据发送给网站所有者。Cloudflare 支持一般与域所有者合作，而非访问者。
网站所有者如何诊断错误代码 520
第 1 步：捕获失败的请求
记录 URL、方法、时间戳、Ray ID、受影响的用户区域，以及响应是否被缓存。请勿在公共票据中分享身份验证 cookie 或个人数据。
第 2 步：关联源日志
在确切的时间戳附近搜索 Web 服务器和应用日志。查找崩溃、工作进程终止、上游复位、超时、格式错误的头部或资源耗尽。
第 3 步：比较代理和直接源行为
通过 Cloudflare 测试，并在授权环境中直接对源进行测试，同时保留预期的 Host 头和 TLS 配置。请勿将源公开作为永久解决方法。
curl --verbose https://example.com/affected-path curl --verbose --resolve example.com:443:ORIGIN_IP https://example.com/affected-path
仅替换为您管理的域和源的占位符。第二个命令可以绕过 Cloudflare 保护，不得用于第三方基础设施。
第 4 步：检查头部和 cookie
检查响应和请求头部大小、重复的 cookie、重定向循环、缺失的状态行和无效字符。使用干净的 cookie jar 重现；然后选择性地添加应用 cookie，直到失败返回。
第 5 步：审查防火墙和安全控制
确认源允许当前的 Cloudflare 源范围，并确保速率限制、WAF 规则、fail2ban 风格的工具和托管安全插件未阻止连接。优先选择维护良好的 Cloudflare 允许列表，而不是禁用防火墙。
第 6 步：验证源协议
如果启用了对源的 HTTP/2，确认源正确协商并处理该协议。验证双方的认证源提取设置。一次更改一个设置，并保留回滚路径。
第 7 步：收集 HAR 和 Cloudflare 证据
Cloudflare 建议在必要时提供受影响的 URL、Ray ID、跟踪输出和 HAR 捕获。共享之前请清理凭据和个人数据。
代理如何影响错误 520 测试
代理可以帮助确定错误是区域性还是与一条路径相关，但无法修复不健康的源。使用来自少数经过批准的位置的受控请求，保留 Ray ID，并比较响应状态和正文指纹。 Nstdata Residential Prime Proxies 可以支持公共网站的授权区域 QA。保持测试有限，避免登录或个人数据，遵守重试限制，并在发现重复的 520 状态码时停止，因为这表明源需要关注。
有关相邻实施指南，请参见 HTTP 响应基础，代理超时处理，以及 网站监控实践。
如何防止错误代码 520
预防依赖于在失败时返回有效、可观察的 HTTP 响应。
- 对 Web 服务器和应用程序进行健康检查和进程监控。
- 返回明确的 4xx 或 5xx 响应，而不是关闭无头部的套接字。
- 监控头部大小、工作者饱和度、上游重置和源延迟。
- 保持 Cloudflare IP 允许列表和源 TLS 设置的最新状态。
- 在暂存环境中测试协议更改，并逐步部署它们。
- 添加请求 ID，以连接边缘、代理和应用程序日志。
最终判决
错误代码 520 是来源响应 Cloudflare 无法使用的一个症状。首先获取确切的请求证据，关联源日志，比较代理和直接源的行为，然后检查崩溃、头部、火墙、容量和协议配置。不要仅仅为了隐藏错误而永久禁用 Cloudflare。
对于有限的区域验证，Nstdata 代理可以帮助从受控路径重现公共页面的行为。如果许多代理池和策略需要中心可观察性，Nstdata Proxy Manager 是相关的运作产品。
体验 Nstdata — 今天就开始您的免费试用
常见问题
问：错误 520 是浏览器问题吗？
通常不是。浏览器收到 Cloudflare 的错误页面，因为 Cloudflare 无法使用源响应，尽管 cookies 或请求头可能会造成影响。
问：错误 520 和错误 522 是一样的吗？
不是。520 涉及空的、未知的或意外的源响应；而 522 具体涉及与源的连接超时。
问：清除 cookies 能解决错误 520 吗？
当过大或格式错误的 cookies 造成影响时，这是有帮助的，但它并不能修复源崩溃、被阻止的 Cloudflare IP 或协议错误。
问：我应该暂停 Cloudflare 来修复 520 吗？
只有在适当时作为短期、受控的诊断步骤。保持保护措施并在收集证据后恢复代理。
问：代理可以防止错误 520 吗？
不能。代理可以重现区域行为，但站点所有者必须纠正源响应或配置。
