Vercel Connect支持Secure Compute：静态IP直连Salesforce和Snowflake

Vercel 的集成连接功能 Connect 迎来一项关键更新：正式支持 Secure Compute 路由。这意味着开发者现在可以通过专属静态 IP 地址访问 Salesforce、Snowflake 等设有 IP 允许列表（IP allowlist）的服务提供商，解决了以往因共享 IP 被拦截而无法连接企业级服务的痛点。

为什么 IP 允许列表是个难题

许多企业级 SaaS 平台出于安全考虑，会要求调用方将来源 IP 加入白名单才能访问其 API。Salesforce 和 Snowflake 是典型代表——它们的客户群体以中大型企业为主，安全策略相对严格。

Vercel Connect 此前的出站请求使用的是共享 IP 池。对于没有 IP 限制的普通服务来说这没什么问题，但面对需要精确识别调用方身份的提供商，共享 IP 就成了障碍：你没法把一组不确定的 IP 地址交给提供商去配置白名单。

Secure Compute 的引入改变了这一局面。启用路由后，Connect 向提供商发起的请求会走选定网络的专属静态 IP，而不是 Connect 的共享 IP。

IP 允许列表（IP allowlist） 是一种基于来源 IP 地址的访问控制机制。服务提供商在防火墙或应用层维护一份可信 IP 列表，只有来自这些地址的请求才会被放行，其余一律拒绝。它常与 mTLS、OAuth 等机制叠加使用，构成纵深防御。

对企业级 SaaS 而言，IP 允许列表的价值在于：即使攻击者窃取了 API 密钥，只要其出口 IP 不在白名单内，也无法调用接口，从而把「凭证泄露」的爆炸半径限制在可控范围内。代价是调用方必须拥有稳定、可预先告知的出口 IP——这正是共享 IP 池架构难以满足的地方。

怎么配置

配置过程分为两个阶段。第一步在 Vercel 端完成：打开目标 connector 的 Settings，在 Secure Compute Routing 区域选择一个已有的网络。

第二步在提供商端完成：如果该提供商使用了 IP 允许列表，需要把所选网络显示的静态 IP 地址添加到提供商的白名单设置中。最后回到 Connect 保存更改即可。

Connect 中选定 Secure Compute 网络后显示的专属 IP 地址，就是需要提交给提供商的地址。整个流程不需要编写额外的网络配置代码。

Secure Compute 是 Vercel 提供的网络隔离能力，它允许团队为项目创建独立的计算网络，并为其分配专属的静态出站 IP。与默认的共享基础设施不同，这些 IP 由该网络独占，不会因其他租户的流量而变化，因此可以安全地登记到第三方服务的允许列表中。

启用后，指定 connector 的出站流量会经由所选网络的静态 IP 发出，而项目其他部分的部署与路由行为不受影响。这使得同一份网络策略既能覆盖传统代理场景，也能覆盖 Connect 托管的凭证调用。

凭证管理不受影响

值得说明的是，这次更新只改变了请求的网络路径，凭证管理机制保持不变。开发者仍然不需要在应用中存储长期有效的提供商密钥，也不需要自行搭建 OAuth 流程。获取和刷新 access token 的请求同样走 Secure Compute 路由，与业务 API 调用保持一致。

应用本身的直接 API 路由也不受这个设置影响——它仅作用于 Connect 发出的 provider 请求。这种设计把网络层的变更限制在了 Connect 模块内部，降低了引入回归的风险。

OAuth 流程 指应用通过授权服务器获取 access token 的标准协议。在 Connect 的模型里，token 的获取与刷新由平台代管，开发者无需在代码或环境变量中保存长期有效的提供商密钥。这一点与网络路径的变更相互独立：无论请求走共享 IP 还是 Secure Compute 静态 IP，token 的签发与轮换逻辑都不变。

把网络层与凭证层解耦的好处是，团队可以单独调整任一维度而不触发另一维度的回归。若未来需要更换网络或调整允许列表，也无需重新设计应用的鉴权代码。

两个需要注意的限制

Secure Compute 路由并非覆盖 Connect 的所有通信场景，有两个边界条件需要留意。

初始创建的发现请求不走静态 IP。 首次创建 connector 时的请求，以及所有提供商发现（discovery）请求，会绕过所选网络直接连接提供商。如果提供商对这 类请求也做了 IP 白名单限制，需要单独考虑处理方式。

没有回退机制。 当选定的网络不可用时，路由请求会直接失败，而不会回退到 Connect 的共享 IP。这是一个有意为之的设计选择——宁可失败也不降级到共享 IP，避免因 IP 变化导致提供商侧出现难以排查的认证异常。对于依赖 Connect 的生产应用，这意味着需要关注所选网络的可用性。

对开发者的实际意义

这项功能对两类团队最有价值：一是正在把 Vercel 上的应用接入 Salesforce、Snowflake 等企业级服务的团队，此前可能因为 IP 限制而不得不架设额外的代理层；二是已经在使用 Secure Compute 网络的团队，现在可以把 Connect 的请求纳入同一套网络策略中管理。

从更大的视角看，Vercel 正在逐步补齐从部署平台向集成平台演进所需的基础设施。Connect 负责凭证托管和 OAuth 流程，Secure Compute 负责网络隔离和 IP 控制，两者结合后，Vercel 上的应用访问外部企业服务时的安全边界更加清晰。对于需要在合规框架下部署应用的团队，这层能力可能比单纯的部署便利更重要。