我这边是直接让源站在防火墙里只放行CF的IP段，配合CF的authenticated origin pulls，比折腾real_ip省事多了。