Fluxheim/Dokumendid/Configuration Basics

Configuration Basics

Fluxheim kasutab TOML-i. Tundmatud väljad lükatakse tagasi, seega õigekirjavead ebaõnnestuvad enne restarti.

Põhikuju

[server]
listen = ["0.0.0.0:8080"]
default_vhost = "site"

[[vhosts]]
name = "site"
hosts = ["example.com"]

Mitme rentnikuga juurutustes lubage [server.host_routing].strict = true, et puuduv või vigane hosti identiteet tagastaks 400 ja tundmatu host 421, selle asemel et jõuda vaikesaidile.

Kuidas config on korraldatud

Ala	Mis sinna kuulub
`server`	Listeners, global limits, trusted proxy handling, and redirects.
`tls`	Globaalne TLS-backend ja compatibility policy.
`cache`	Process-wide cache defaults and storage tiers.
`vhosts`	Hostnames, routes, web roots, proxy settings, PHP, TLS, and access policy.
`metrics`	Prometheus ja export listenerid töö nähtavuseks.

Route-kuju

[[vhosts.routes]]
name = "app"
path_prefix = "/app/"
methods = ["GET", "HEAD", "POST"]
max_request_body_bytes = "16MiB"

[vhosts.routes.proxy]
upstreams = ["127.0.0.1:3000"]

Route'il on üks matcher ja üks action. Exact paths võidavad esimesena, siis pikimad prefixes, siis regex routes kui regex support on lubatud, ning lõpuks fallback route.

HTTP vastuse turvalisus

HTTP vastuse turvaprofiilid on valikulised. Alustage baseline-ga; kasutage päritoluülest isoleerimist alles pärast iga skripti, fondi, pildi, sisselogimisvoo ja manustatud ressursi testimist.

[headers.response.hardening]
profile = "baseline"

Profiil	Mida see teeb
`off`	Hoiab lubatavad kõvastuspäised keelatud.
`baseline`	Lisab konservatiivse brauseri isolatsiooni ja enamiku saitide jaoks sobivad ressursipoliitika vaikesätted.
`cross-origin-isolated`	Võimaldab ranget päritoluülese isolatsiooni rakendustele, mis on testinud kõiki väliseid sõltuvusi.

Kumbki profiil ei luba HSTS-i ega CSP-d. Seadistage need eraldi pärast nende testimist päris saidil.

Standardipõhised vastuse metaandmed

Vastuste metaandmed on vaikimisi keelatud. Lubage ainult vajalikud väljad; Fluxheim tuletab need tegelikust vahemälu tulemusest, puhverserveri tõrgetest ja lõplikest vastusebaitidest, paljastamata vahemälu võtmeid, taustaaadresse, DNS-i nimesid või töötlemata vigu.

[headers.response.metadata]
identifier = "edge-gateway"
cache_status = true
proxy_status = true
content_digest = true
repr_digest = true

Väli	Mida see teatab
`Cache-Status`	RFC 9211 vahemälu tulemused, nagu tabamus, möödalaskmine, aegunud edastamine, taaskehtimine, aegumine ja möödasõit.
`Proxy-Status`	RFC 9209 madala kardinaalsusega üksikasjad Fluxheim tekitatud rikete kohta.
`Content-Digest`	RFC 9530 SHA-256 üle lõpliku HTTP sõnumi sisu pärast tihendamist.
`Repr-Digest`	SHA-256 ainult siis, kui Fluxheim sisaldab kogu valitud esitust.

Reaalajas hetktõmmised ja tagasipööramine

Autentitud hetktõmmised võivad avaldada kinnitatud kandidaadi, asendada reaalajas ruuteri ja tagasi pöörduda ilma tavalisi ainult marsruutimisega seotud juurutusi taaskäivitamata. Iga päring jääb algusest lõpuni ühele ruuteri põlvkonnale.

Hoidke hetktõmmiste pood spetsiaalses privaatses kataloogis; olemasolevad mitteprivaatsed kataloogid ja failisüsteemi juured lükatakse tagasi.
Kasutage protsessi uuendamist, kui taustakoormuse tasakaalustaja tervise- või avastamisteenused on aktiivsed.
Käivitage hetktõmmise terviklikkuse kontroll pärast avaldamist või tagasipööramist ja veenduge, et valitud põlvkond püsib taaskäivitamisel.

Lugege täielikku hetktõmmise lepingut

Turvalised harjumused

Run fluxheim --check-config before reloads.
Kasuta üht vhosti iga saidi või rakenduse piiri kohta.
Hoia secrets failides, environmentis või container secretsis, mitte avalikes docsides.
Hoidke konfiguratsioonifailid ja kõik olemasolevad ülemkataloogid usaldusväärse omaniku all ning ärge lubage rühmal ega teistel kasutajatel neisse kirjutada.
Asendage protsess, kui muutuvad TLS-i, kuulajate, voogude, UDP, ACME, vahemälu tühjendamise, jälgimise või hallatud PHP-FPM-protsesside sätted; tavapärase marsruutimise ja päringuaegse poliitika puhul saab kasutada hetktõmmise taaslaadimist.
Kasuta route-level limite uploadide ja kallite rakenduspathide jaoks.
Hoia admin ja metrics listenerid privaatsed.