Fluxheim/Dokumentacioni/Configuration Basics

Configuration Basics

Fluxheim përdor TOML. Fushat e panjohura refuzohen, kështu gabimet drejtshkrimore dështojnë para restart-it.

Forma kryesore

[server]
listen = ["0.0.0.0:8080"]
default_vhost = "site"

[[vhosts]]
name = "site"
hosts = ["example.com"]

Për deployment-e me shumë tenantë, ndiz [server.host_routing].strict = true, që identiteti host i munguar a i pavlefshëm të kthejë 400 edhe host-et e panjohura të kthejnë 421, jo të mbërrijnë te site-i i parazgjedhur.

Si është organizuar konfigurimi

Zona	Çfarë i përket aty
`server`	Listeners, global limits, trusted proxy handling, and redirects.
`tls`	Politika globale TLS backend dhe kompatibiliteti.
`cache`	Process-wide cache defaults and storage tiers.
`vhosts`	Hostnames, routes, web roots, proxy settings, PHP, TLS, and access policy.
`metrics`	Prometheus dhe export listeners për dukshmëri operacionale.

Forma e route-it

[[vhosts.routes]]
name = "app"
path_prefix = "/app/"
methods = ["GET", "HEAD", "POST"]
max_request_body_bytes = "16MiB"

[vhosts.routes.proxy]
upstreams = ["127.0.0.1:3000"]

Një route ka një matcher dhe një action. Exact paths fitojnë të parat, pastaj prefikset më të gjata, pastaj regex routes kur mbështetja regex është aktive, dhe në fund një fallback route.

Siguria e përgjigjes HTTP

Profilet e sigurisë së përgjigjes HTTP janë opsionale. Filloni me baseline; përdorni izolimin me origjinë të kryqëzuar vetëm pasi të keni testuar çdo skript, font, imazh, rrjedhë të hyrjes dhe burim të integruar.

[headers.response.hardening]
profile = "baseline"

Profili	Çfarë bën
`off`	I mban të fikur header-at me zgjedhje për forcimin e sigurisë.
`baseline`	Shton izolim konservativ të shfletuesit dhe parazgjedhje të politikës së burimeve të përshtatshme për shumicën e sajteve.
`cross-origin-isolated`	Mundëson izolim të rreptë me origjinë të kryqëzuar për aplikacionet që kanë testuar çdo varësi të jashtme.

Asnjë profil nuk mundëson HSTS ose CSP. Konfiguro ato veçmas pasi t'i testosh në faqen reale.

Metadata përgjigjeje sipas standardeve

Metadata e përgjigjes është e fikur si parazgjedhje. Ndez vetëm fushat çë të duhen; Fluxheim i nxjerr nga rezultati i vërtetë i cache-it, dështimi i proxy-t edhe bajtet përfundimtare të përgjigjes, pa zbuluar çelësa cache-i, adresa backend-i, emra DNS ose gabime të papërpunuara.

[headers.response.metadata]
identifier = "edge-gateway"
cache_status = true
proxy_status = true
content_digest = true
repr_digest = true

Fusha	Çë raporton
`Cache-Status`	Rezultate cache-i RFC 9211 si hit, miss, dërgim i vjetruar, rivalidim, skadim edhe bypass.
`Proxy-Status`	Hollësi me kardinalitet të ulët sipas RFC 9209 për dështimet çë krijon Fluxheim.
`Content-Digest`	RFC 9530 SHA-256 mbi përmbajtjen përfundimtare të mesazhit HTTP pas kompresimit.
`Repr-Digest`	SHA-256 vetëm kur Fluxheim mban përfaqësimin e plotë të zgjedhur.

Snapshot-e të drejtpërdrejta edhe kthim prapa

Snapshot-et e autentikuara mund të botojnë një kandidat të validuar, të ndërrojnë router-in aktiv edhe të kthehen prapa pa rinisur vendosjet normale vetëm për routing. Çdo kërkesë rri në një brez të vetëm router-i nga fillimi gjer në fund.

Mbaje magazinën e snapshot-eve në një direktori private të veçantë; direktoritë ekzistuese jo private edhe rrënjët e filesystem-it refuzohen.
Përdor ndërrim procesi kur shërbimet e shëndetit ose zbulimit të load balancer-it në prapaskenë janë aktive.
Bëj kontrolle integriteti pas botimit ose kthimit prapa edhe provo se brezi i zgjedhur mbetet pas rinisjes.

Lexo tërë rregullat e snapshot-it

Zakone të sigurta

Run fluxheim --check-config before reloads.
Përdor një vhost për çdo site ose kufi aplikacioni.
Mbaji sekretet në skedarë, environment ose container secrets, jo në dokumente publike.
Mbaji skedarët e konfigurimit edhe çdo direktori prind që ekziston nën pronësi të besuar, pa të drejtë shkrimi për grupin a përdorues të tjerë.
Ndërroje procesin kur ndryshojnë TLS, listeners, streams, UDP, ACME, pastrimi i cache-it, tracing a cilësimet e procesit PHP-FPM të menaxhuar; routing-u i zakonshëm edhe policy gjatë kërkesës mund të përdorin snapshot reload.
Përdor kufij në nivel route për upload-e dhe rrugë aplikacioni të shtrenjta.
Mbaji admin dhe metrics listeners private.