>> 隐藏网站源服务器 ip
>> 避免攻击需要套一层
>> cdn 又不扛揍，一打流量就没了

这可能不是一个维度的事情。

隐藏服务器 IP ，不能推导出避免被攻击。
使用 CDN ，同样不能推导出避免被攻击。

你没有表述清楚你的目的。

如果目的是为了隐藏服务器 IP ，那么上 CDN 是其中一种方法，并且还需要确保服务端配置正确的情况下。最稳妥的是采用 zero turst ，源服务器不直接暴露公网。

如果目的是为了防止被刷流量，在对方有大量 IP 的情况下，没有很好的办法，只有硬抗，对方刷流量也是需要成本的，就是比哪边的钱更多。如果攻击方没有大量 IP 的情况下，通常简单的频率限制就可以获得还不错的效果。

如果目的是为了防止被攻击，同样没有比较好的办法，精心构造的 CC 可以轻易的击穿 WAF ，并且并不一定需要大量的请求，更多的依赖于程序设计的健壮性。对于一些消耗资源的请求，添加必要的人机验证手段。