独立开发者防破产手册：各大云服务“天价账单”陷阱与避坑防爆清单（GitHub / Cloudflare / AWS / Vercel / Supabase）

结论先行：云服务平台最大的谎言不是“免费层（Free Tier）”，而是**“超出部分无上限自动从信用卡划扣（Uncapped Pay-as-you-go）”**。独立开发者起步防爆有三大铁律：

严禁在生产或高危平台绑定大额主卡，尽量使用单月设额度的虚拟信用卡（如 Wise / Privacy / Revolut）；

分清 Soft Limit（仅发邮件提醒继续扣费）和 Hard Limit（到达限额立即熔断切断流量），凡是不支持 Hard Limit 的平台，必须前置 Cloudflare WAF 限流；

警惕冷门计费维度：很多人只盯带宽和内存，却死在“读写次数（Requests/Rows Read）”、“Shared Pooler 数据库搬运流量”和“Git LFS 出站流量”上。

1、期望目标与适用人群

在出海与独立开发圈子里，“天价账单（Bill Shock）”往往是项目起飞前最致命的暗礁：

有人因为 Next.js 边缘函数递归调用，一夜收到 Vercel $96,000 账单；
有人因为 GitHub Actions 脚本死循环耗尽配额，被自动扣除几百刀；
有人因为 Supabase 某个接口忘了做内存缓存，短短 3 天从数据库搬走数百万行数据，导致每月 5GB 出站流量差点被直接干穿……

本文目标：

帮你盘点 7 大主流服务（GitHub、Cloudflare、Vercel、AWS、Supabase、Resend、LLM API）最易暴雷的暗坑与额度限制；
结合真实数据与技术原理解释“为什么会发生”；
提供即抄即用的防御配置清单，让你安心睡觉不怕信用卡被刷爆。

2、各大云服务隐藏暗坑与真实案例拆解

坑 1：Supabase —— 看似微不足道，实则暗藏杀机的 `Shared Pooler Egress`

很多做全栈或出海产品的开发者都会用 Supabase（托管 PostgreSQL），免费层送 500MB 存储和每月 5 GB 出站流量（Egress）。5GB 听起来存文字几辈子都用不完，但很多人的项目刚上线 3 天就亮红灯。

真实翻车实录：100% Shared Pooler Egress 偷跑！

最近排查了一个真实项目：上线仅 4 天，出站流量（Egress）直接飙到近 2 GB（单日消耗超过 700MB！）。打开后台一看，流量分布图上 100% 全是 Shared Pooler Egress（数据库连接池出站流量）。

Supabase Egress 异常图表

为什么会这样？

很多新手以为只有客户端下载 Storage 图片或视频才算流量，其实：后端通过连接池从数据库拉取查询结果，只要跨网络传输，每一字节都是真金白银的出站流量！

通过 Postgres 的慢查询与执行统计工具一抓，幕后黑手立即现形：

配置表死循环读取：代码里写了一个 SELECT name, value FROM config，开发者把它当成了普通变量，每个前端 API 请求进来都重新去查一次数据库。4 天内整整调用了 18,618 次，在网络上来回搬运了 320 万行数据！
大表扫描缺少内存缓存：原本只要在 Node.js / Go 应用层加一个简单的 5 分钟本地内存缓存（Memory Cache），流量消耗就能瞬间暴跌 90% 以上。
未做限制的批处理：后台批量入库或全量查询长文本时，未做 LIMIT 分页，导致连接池被巨量数据包打满。

💡 我们在工具箱里准备了什么？
针对这类隐蔽问题，我们在开源工具库中沉淀了一套轻量级的 Supabase / Postgres 360° 健康体检诊断脚本 (supabase-usage-guard)。
只需要把诊断 SQL 贴到 Supabase 控制台的 SQL Editor，一秒钟就能全盘扫描出整库中：偷跑流量最多的 Top 10 SQL、缺少索引导致全表硬扫的表、以及从未被命中的无用垃圾索引。不用盲猜到底是哪里在漏水。

坑 2：GitHub —— 被遗忘的 CI 死循环与 LFS 吞金兽

很多人以为 GitHub 只是个代码仓库，绑卡只为了 Copilot，但其实 GitHub 扣起费来悄无声息。

隐藏收费项	官方免费限制	真实杀伤力与翻车机理
GitHub Actions	私有仓库每月 2,000 分钟	自动化测试挂起、等待交互输入、死循环重试，未设置超时。默认单个 Job 可跑 6 小时！超额后按分钟扣费。
Git LFS 带宽	免费仅 1 GB/月	仓库里放了安装包/大模型/视频，被外部频繁 clone 或爬虫抓取，超额按 $0.0875/GB 自动扣费。
Codespaces	免费每月 120 核·小时	打开云端 IDE 调试后直接关闭浏览器标签页，未设置自动休眠，算力持续计费到欠费。
GitHub Packages	免费每月仅 1 GB 数据传输	Docker 镜像或私有 npm 包频繁在 CI/CD 中拉取，跨网络部署极易超额。

🛡️ GitHub 保命配置：

打开 Settings -> Billing and plans -> Spending limit，将所有服务的额度强制设为 $0（Require explicit approval）；

每个 Workflow 文件必须强制指定 timeout-minutes: 15，严禁让任务无休止挂起！

坑 3：Cloudflare —— 赛博菩萨的“菩萨低眉”

Cloudflare 被独立开发者封为“赛博菩萨”（免费 CDN、免费抗 D、免费 Workers 额度），但这尊菩萨在特定计费维度下同样有硬性边界：

Cloudflare D1 扫表行数爆炸（Rows Read）：
- 免费层每天提供 500 万行读取（Rows Read）。注意：是扫描的行数，不是最终返回的行数！
- 如果你的数据表有 5 万行数据，你写了一条 SELECT * FROM articles WHERE status = 'draft' 但没有在 status 字段加索引（INDEX），一次查询就会扫满 5 万行！只要 100 次页面刷新，500 万行的免费额度就见底了。
Workers KV 的写入与列出（Write / List）：
- KV 针对读取额度极其慷慨（免费 10 万次/天），但针对 写入只有 1,000 次/天，针对 列表（List）只有 1,000 次/天。如果你拿 KV 当 Redis 做高频心跳，分分钟超限。
R2 存储的 Class A 写入操作：
- R2 虽然免除出站流量费（Zero Egress Fee），但对 A 类写入/管理操作（PUT, LIST） 超过 100 万次/月是按量收费的。

坑 4：Vercel —— 边缘函数与数据传输黑洞

Vercel 部署简单，但它是近年来在 Hacker News 上引发“天价账单”讨论最多的平台：

杀手机制 1：Fast Data Transfer（出站流量）。Vercel Pro 超出免费赠送的流量后，按 $0.15 - $0.40/GB 收费（比很多云厂商贵上数倍！）。一旦网站静态文件或视频被外链恶意刷流量，费用按指数上涨。
杀手机制 2：Serverless Function 执行时长（GB-Hrs）。接口调用外部慢速 API（如未流式返回的 LLM 接口），请求挂起等待 30 秒，并发上来后函数算力时长呈几何级消耗。
杀手机制 3：自动按量扩容无原生硬顶。默认不会在达到一定金额后自动关闭服务。

坑 5：AWS —— 传统大厂的“账单迷宫”

AWS 的计费模型连大公司运维都会头疼，独立开发者最容易死在以下两个点：

NAT Gateway（固定小时吸血鬼）：为了让私有子网访问外网随手点了一个 NAT 网关。只要开着，每小时固定扣约 $0.045（单月近 $33），还没算数据流量费，空置一个月就是大几十刀。
S3 遭遇 DDoS 请求刷量：S3 的 GET/PUT 是按请求次数收费的。就算别人恶意访问你一个不存在的私有文件（返回 403 拒绝），AWS 依然按收到的请求次数照常计费！

3、各大平台危险收费维度与防御等级全景图

平台	最危险收费维度	官方免费限制	是否支持原生 Hard Limit	最佳防爆实操
GitHub	Actions 分钟数、Git LFS 流量	2,000 分钟/月，1GB LFS	✅ 支持（Spending Limit 设 0）	设超时限制、Spending Limit 锁死 $0
Supabase	Shared Pooler 出站流量、存储	5 GB/月 Egress，500MB 存储	✅ 支持（关闭自动充值）	应用层加缓存、定期跑 SQL 体检大字段
Cloudflare	D1 扫描行数、KV 写入量	D1 500万行读/天，KV 1000次写/天	⚠️ 部分支持	核心字段加 INDEX 索引、WAF 限流
Vercel	Fast Data Transfer、函数时长	100GB 流量/月，函数执行时长限制	❌ 仅支持告警不阻断	大文件丢 R2，前置挂 Cloudflare 缓存隔离
AWS	NAT 网关、S3 请求量、数据出站	750小时基础实例 (首年)	❌ 仅报警不阻断	能用轻量 VPS 解决的绝不碰复杂网关
OpenAI/LLM	令牌消耗（Token Usage）	需预充值或绑卡按量	✅ 支持设置每月 Hard Limit	必须在后台设 $20/$50 强制熔断硬顶

4、独立开发者保命防爆清单（Checklist）

在你的产品上线并公开宣传前，请花 10 分钟对照以下清单逐一核对：

### 独立开发者防爆上线 Checklist (建议收藏并对照执行)

- [ ] 1. 支付方式物理隔离：严禁用大额工资卡绑海外平台，改用单月固定限额（如 $50）的虚拟卡。
- [ ] 2. GitHub 预算硬顶：访问 Settings -> Billing，将 Spending Limit 设为 $0。
- [ ] 3. GitHub CI 超时锁定：检查所有 .github/workflows/*.yml，加入 timeout-minutes: 15。
- [ ] 4. 数据库读取做缓存：高频读取的系统配置（如 config 表），必须在应用内存中做缓存，严禁每次接口穿透拉取！
- [ ] 5. 数据库健全性巡检：定期使用体检脚本排查慢查询与缺失索引，杜绝无索引全表扫描。
- [ ] 6. 静态大文件剥离：图片、音视频等大文件绝不放在 Serverless 平台直接分发，统一丢到 Cloudflare R2。
- [ ] 7. 前置套上 Cloudflare WAF：开启代理（小黄云），配置基础 Rate Limiting 防暴力刷接口。
- [ ] 8. AI / 第三方 API 设硬顶：前往 OpenAI / Anthropic 后台，设置 Monthly Hard Limit（如 $20）。
- [ ] 9. 邮件发送接口加人机验证：对外发信/注册接口必须加 Turnstile 验证码，防被刷成垃圾邮件肉鸡。