很多防护方案只挡了入口，却忘了出口：落地页 HTML 里残留的绝对地址、静态资源引用的直连域名、跳转参数里明晃晃的源站 host——任何一处都会把源站暴露给抓取者。源站一旦暴露，攻击者绕过防护层直连，前面的拦截全部作废。

全资源签名代理

正确做法是让落地页的所有资源请求都经过防护层代理：HTML 改写、CSS/JS/图片路径替换、跳转链接重写，整个响应里不再出现源站地址。好盾对代理资源做签名校验，伪造的资源请求直接拒绝。

别忘了证书与 DNS

实际部署里还有两个常见疏漏：一是多个推广域名共用一张证书导致证书透明度日志暴露关联；二是 DNS 历史解析记录把新旧服务器串起来。推广域名独立签发、按需自动化签证书，是源站隐匿的最后一块拼图。