Как защитить публичный вход в приложение на уровне CDN и edge?

Защиту ставят как можно раньше — на границе сети, до того как запрос дойдёт до вашего кода и начнёт стоить денег. Базовый набор: WAF с правилами против типовых атак и подозрительных сигнатур, ограничение частоты запросов по адресу, токену и маршруту, защита от ботов (проверки, репутация адресов, ограничение автоматизированного трафика), защита от объёмных атак на уровне сети, а также правильные заголовки безопасности. Отдельная задача — не сломать легитимный трафик: ограничения задают по маршрутам (дорогие эндпоинты строже), начинают в режиме наблюдения и учитывают, что за одним адресом могут быть тысячи пользователей.