可选运行时绑定缺失时，边缘 Worker 如何安全降级

一个新版边缘站点通过了构建、单元测试和多轮基础 HTTP 冒烟检查，但真实浏览器首次打开 HTML 页面时仍返回 500。这里的运行时绑定，是平台在部署时为应用提供的缓存、图片处理等能力。继续用简单请求验证时大多正常，带浏览器请求头的导航却能稳定复现失败。

这类差异说明“路由能返回响应”不足以代表真实访问路径安全。浏览器可能触发 HTML 缓存、图片优化或其他只在特定请求条件下执行的分支。

证据与回滚

新版本上线后，最初一批普通 HTTP 检查全部成功。随后使用真实浏览器导航复现了持续错误。由于故障出现在生产路径，版本立即回滚到上一已知正常版本，而不是继续在异常版本上试错。

回滚恢复访问后，运行时日志给出了两个独立证据：

• 当前运行环境不允许访问默认边缘缓存；
• 图片优化路径引用了一个未提供的可选图片绑定。

两者都不是内容或路由数据错误，而是代码假设了运行时能力必然存在。

根因

实现把“平台通常提供某项能力”当成了“本次部署一定注入该绑定”。基础冒烟检查没有命中相关分支，所以发布前检查未发现问题；真实 HTML 与图片请求进入这些分支后，未捕获的运行时异常直接变成 500。

问题的本质不是缓存失败，而是可选能力缺失时没有定义退化行为。

实现安全回退

修复分成两层：

• 只有部署环境明确提供 HTML 缓存绑定时，才执行缓存读取和写入；否则直接走无缓存渲染。
• 只有图片绑定可用时，才调用图片优化；否则为公开静态资源返回原始图片。

原图回退还增加了来源约束，只允许站点自身的公开资源路径，拒绝把任意内部或外部地址变成回退目标。这样既避免了空绑定异常，也没有为了可用性扩大资源访问范围。

缓存调用本身仍使用异常保护。即使绑定存在但临时不可用，请求也可以继续渲染，而不是把缓存故障升级成页面故障。

验证

新增回归测试覆盖了缓存不可用、缓存绑定缺失、图片绑定缺失和非法回退来源。完整 lint 与测试全部通过。

修复版本重新发布后，生产检查覆盖中英文首页、博客、文章和静态资源，所有请求均成功；真实浏览器导航与移动视口也正常，运行时错误日志不再新增。线上版本号与已验证提交保持一致。

经验与限制

缓存、图片优化和可观测性通常是增强能力，不应成为 HTML 可用性的单点依赖。边缘代码应先检测每项可选的运行时能力：存在才使用，缺失则进入经过测试的安全路径。

降级也不能简单地“什么都返回”。回退必须保持来源、缓存语义和安全边界。否则一次可用性修复可能引入新的资源代理或数据暴露风险。