1Q1 · 整套能不能只用 Cloudflare？
前端站点（Pages）+ 网关逻辑（Workers）+ 用户/计费数据（D1）+ 会话/缓存（KV）+ 大对象（R2）+ 边缘缓存限流（AI Gateway）+ 原站隐蔽（Tunnel），全部能在 Cloudflare 上落地，且免费层就能跑 MVP。这是把固定成本压到接近 0 的最优组合。
Workers 是 V8 Isolate，不能跑原生二进制/长驻进程/重 Docker 镜像，单次 CPU 时间有限、不适合长连接保持的 WebSocket 后端或重型 Python 逆向库。这些就要落到 VPS（见 Q2）。但对"合法聚合网关"而言，核心逻辑（路由/计费/转发）完全在 Workers 能力内。
2Cloudflare 免费配额表（2026-06）
| 服务 | 免费配额 | 用途 | 是否需 $5/月 Paid |
|---|---|---|---|
| Workers | 100,000 请求/天；每次 10ms CPU | 网关逻辑、转发 | 超量/更高 CPU 需 Paid |
| Pages（静态） | 带宽无限、请求无限 | 前端站点/控制台 | 否（永久免费） |
| KV | 读 10万/天、写 1千/天、存储 1GB | 会话、配置、缓存 | 超量需 Paid |
| D1 | 读 500万行/天、写 10万行/天、存储 5GB | 用户/计费/记账 | 超量需 Paid |
| R2 | 存储 10GB/月、Class A 100万、Class B 1000万、出口永久免费 | 大对象、日志归档 | 独立计费 |
| Durable Objects | 10万请求/天、13,000 GB-s/天；免费层仅 SQLite 后端 | 有状态/限流计数 | KV 后端需 Paid |
| Queues | 10,000 操作/天 | 异步任务 | 超量需 Paid |
| AI Gateway | 核心功能全免费（缓存/限流/重试/分析）+ 10万日志/月 | 边缘缓存、可观测 | 否 |
| Cloudflare Tunnel | 完全免费、无用量上限 | 原站隐蔽、零信任入站 | 否 |
| Workers AI | 10,000 neurons/天 | 自营免费档推理 | 超量按量 |
来源：developers.cloudflare.com 各产品 pricing 页（2026-06 核实）。生产建议直接上 Workers Paid（$5/月）以解锁更高 CPU 与无 1000 写/天的 KV 限制——单这一档就够小型平台跑很久。
3Q2 · 哪些场景必须上 VPS？
需要长时间保持连接、维护复杂会话状态的服务（部分逆向接口即如此）。可用 Durable Objects 缓解，但重型场景仍偏 VPS。
很多开源网关与工具是 Docker 镜像或重 Python 依赖（如 LiteLLM 自托管、New/One API 后端），跑不进 Workers，需 VPS 或容器平台。
D1 适合中小规模；高写入、复杂事务、需本地化存储合规时，需自管 Postgres/MySQL on VPS。
长时间运行的批处理、定时任务、需要固定 vCPU 的负载，VPS 更划算。
合法聚合网关的最小架构可以 0 VPS（New/One API 也能容器化部署在便宜 VPS，或用 LiteLLM Worker 化的轻量替代）。是否上 VPS，取决于我们选哪个网关自托管：New/One API / LiteLLM 自托管 → 需要一台小 VPS 或容器平台；若全用 CF Workers 自写网关逻辑 → 可 0 VPS。
4曼谷 VPS + Cloudflare Tunnel（源文档方案评估）
源文档强调"曼谷原站 VPS + Tunnel 隐藏真实 IP"。对面向东南亚的合法网关，这套是合理的：
- 选址逻辑：Cloudflare 在曼谷有数据中心（BKK-IX），与本地运营商直连，延迟低。若用户在东南亚，曼谷/新加坡原站有真实网络收益。
- Tunnel 价值：VPS 只跑
cloudflared出站隧道，关闭所有入站端口（含 22/80/443），公网扫不到真实 IP，所有流量必须过 Cloudflare WAF。Tunnel 免费、无上限。 - 零信任：敏感后台用 Cloudflare Access + JWT(AUD) 二次校验，未带合法身份的包在边缘丢弃。
| 供应商 | 特征 | 定位 |
|---|---|---|
| Contabo（新加坡） | 大资源配额、性价比高，到曼谷路由短 | 合规要求弱、追求性价比的测试/后台 |
| MyHosti（KVM） | 纯 KVM、NVMe，~$6.54/月起 | 初创验证期的低成本后台 |
| Hosting.com（泰国本土） | 本地低延迟、AI 优化 | 中等规模、要本地售后 |
| Zenlayer（BKK3 裸金属） | 企业级、高吞吐 | 成熟期核心后台（成本高） |
源文档把曼谷 VPS 同时用于"承载大规模 Grok 自动注册与逆向网关"。合法路线下，VPS 只承载合法网关后端与数据库，不承载养号/逆向。同一套 Tunnel+VPS 基础设施本身是中性的、合规的；问题只在往上面放什么。
5Q3 · 家庭 / 住宅代理 IP 用在哪、风险多大？
住宅/家庭代理 IP 的唯一主要用途是规避供应商的 IP 风控——也就是批量注册、养号、绕过地区/频率限制。这正是 02 判定为不可持续、不应纳入供给的灰产行为。合法的付费批发 / BYOK / 官方免费层都用真实数据中心 IP 直连即可，不需要住宅代理。
如果发现架构里"必须"用到住宅代理，几乎可以反推：这条供给线是在对抗某家的反滥用系统——也就是踩在了红线那侧。住宅代理还带来额外问题：
- 成本高：按流量计费，是养号模式最大的持续开销。
- 来源灰：住宅代理 IP 池常来自可疑的 SDK 劫持/僵尸网络，使用本身可能涉及法律与道德问题。
- 合规信号：支付商/厂商风控会把住宅代理流量视为高风险，反而加速封禁。
需要"多地区出口"时，用 Cloudflare 的全球边缘或多区域 VPS（数据中心 IP，合规）即可满足延迟与地区落地需求，无需住宅代理。
6成本对比（月度，示意）
| 方案 | 固定成本/月 | 适合阶段 | 备注 |
|---|---|---|---|
| 纯 Cloudflare（免费层） | $0 | MVP/验证 | 受免费配额约束 |
| Cloudflare Workers Paid | $5 | 早期生产 | 解锁更高 CPU/KV，性价比极高 |
| CF + 一台小 VPS（自托管 New/One API/LiteLLM） | $5 + $6~15 | 需要自托管网关 | Contabo/MyHosti 级别 |
| CF + 曼谷/裸金属 VPS | $5 + $30+ | 东南亚规模化 | Zenlayer 级，按需 |
| 住宅代理 IP 池 | $$$（按流量） | 不推荐（灰产） | 合法路线不需要 |
不含 token 采购成本（变动成本，见 06）；VPS 价格随供应商与配置浮动。
7选型建议
MVP：纯 Cloudflare（Pages + Workers + D1 + KV + AI Gateway），$0 起步。
早期生产：升级 Workers Paid（$5/月）+ 一台小 VPS（$6~15）自托管 New API/LiteLLM，VPS 用 Tunnel 隐藏 IP。
东南亚规模化：原站迁曼谷/新加坡 VPS，保留 Tunnel + Access(JWT) 零信任。
始终不要：住宅代理 IP、养号脚本——它们只服务于已被本调研排除的灰产供给。
端到端架构图见 09 架构蓝图。