Fluxheim/Dokumentacioni/Configuration Basics

Configuration Basics

Fluxheim përdor TOML. Fushat e panjohura refuzohen, kështu gabimet drejtshkrimore dështojnë para restart-it.

Forma kryesore

[server]
listen = ["0.0.0.0:8080"]
default_vhost = "site"

[[vhosts]]
name = "site"
hosts = ["example.com"]

Për deployment-e multi-tenant, aktivizoni [server.host_routing].strict = true, që një identitet host që mungon ose është i pavlefshëm të kthejë 400 dhe host-et e panjohura të kthejnë 421, në vend që të arrijnë te site-i i parazgjedhur.

Si është organizuar konfigurimi

Zona	Çfarë i përket aty
`server`	Listeners, global limits, trusted proxy handling, and redirects.
`tls`	Politika globale TLS backend dhe kompatibiliteti.
`cache`	Process-wide cache defaults and storage tiers.
`vhosts`	Hostnames, routes, web roots, proxy settings, PHP, TLS, and access policy.
`metrics`	Prometheus dhe export listeners për dukshmëri operacionale.

Forma e route-it

[[vhosts.routes]]
name = "app"
path_prefix = "/app/"
methods = ["GET", "HEAD", "POST"]
max_request_body_bytes = "16MiB"

[vhosts.routes.proxy]
upstreams = ["127.0.0.1:3000"]

Një route ka një matcher dhe një action. Exact paths fitojnë të parat, pastaj prefikset më të gjata, pastaj regex routes kur mbështetja regex është aktive, dhe në fund një fallback route.

Siguria e përgjigjes HTTP

Profilet e sigurisë së përgjigjes HTTP janë opsionale. Filloni me baseline; përdorni izolimin me origjinë të kryqëzuar vetëm pasi të keni testuar çdo skript, font, imazh, rrjedhë të hyrjes dhe burim të integruar.

[headers.response.hardening]
profile = "baseline"

Profili	Çfarë bën
`off`	I mban të çaktivizuar header-at opsionalë të forcimit të sigurisë.
`baseline`	Shton izolim konservativ të shfletuesit dhe parazgjedhje të politikës së burimeve të përshtatshme për shumicën e sajteve.
`cross-origin-isolated`	Mundëson izolim të rreptë me origjinë të kryqëzuar për aplikacionet që kanë testuar çdo varësi të jashtme.

Asnjë profil nuk mundëson HSTS ose CSP. Konfiguro ato veçmas pasi t'i testosh në faqen reale.

Meta të dhënat e përgjigjeve të bazuara në standarde

Të dhënat meta të përgjigjes janë çaktivizuar si parazgjedhje. Aktivizoni vetëm fushat që ju nevojiten; Fluxheim i nxjerr ato nga rezultati aktual i cache-it, dështimi i proxy-it dhe bajtët e përgjigjes përfundimtare pa ekspozuar çelësat e cache-it, adresat e backend-it, emrat e DNS ose gabimet e papërpunuara.

[headers.response.metadata]
identifier = "edge-gateway"
cache_status = true
proxy_status = true
content_digest = true
repr_digest = true

Fusha	Ajo që raporton
`Cache-Status`	RFC 9211 rezultatet e cache-it të tilla si goditja, humbja, përcjellja e ndenjur, rivlerësimi, skadimi dhe anashkalimi.
`Proxy-Status`	RFC 9209 detaje me kardinalitet të ulët për dështimet e krijuara nga Fluxheim.
`Content-Digest`	RFC 9530 SHA-256 mbi përmbajtjen përfundimtare të mesazhit HTTP pas kompresimit.
`Repr-Digest`	SHA-256 vetëm kur Fluxheim mban paraqitjen e plotë të zgjedhur.

Snapshot-e aktive dhe rikthim

Snapshot-et e autentikuara mund të publikojnë një konfigurim të validuar, të zëvendësojnë ruterin aktiv dhe të rikthehen pa rinisur vendosjet e zakonshme vetëm për rrugëtim. Çdo kërkesë përdor të njëjtin brez ruteri nga fillimi në fund.

Mbajeni dyqanin e fotografive në një drejtori të dedikuar private; drejtoritë ekzistuese jo private dhe rrënjët e sistemit të skedarëve refuzohen.
Përdorni një përmirësim të procesit kur shërbimet e shëndetit ose zbulimit të balancuesit të ngarkesës në sfond janë aktive.
Kryeni kontrollet e integritetit të fotografive pas publikimit ose rikthimit dhe verifikoni që gjenerata e përzgjedhur të mbijetojë rinisjen.

Lexoni kontratën e plotë të fotografisë

Zakone të sigurta

Run fluxheim --check-config before reloads.
Përdor një vhost për çdo site ose kufi aplikacioni.
Mbaji sekretet në skedarë, environment ose container secrets, jo në dokumente publike.
Mbajini skedarët e konfigurimit dhe çdo direktori prind ekzistuese nën pronësi të besuar dhe jo të shkrueshme nga grupi ose përdorues të tjerë.
Zëvendësoni procesin kur ndryshojnë TLS, listeners, streams, UDP, ACME, cache purging, tracing ose cilësimet e procesit të menaxhuar PHP-FPM; routing-u i zakonshëm dhe policy gjatë kërkesës mund të përdorin snapshot reload.
Përdor kufij në nivel route për upload-e dhe rrugë aplikacioni të shtrenjta.
Mbaji admin dhe metrics listeners private.