更新日志

发布日期：2026 年 7 月 15 日

• +新增可选启用、符合标准的缓存、代理和响应摘要元数据
• +验证经过身份认证的在线快照重载与回滚、完整性检查以及重启后的持久性
• +新增可复现的 FIPS 后端证据，并全面强化原生运行时

发布日期：2026 年 7 月 14 日

• +新增限时等待活跃连接处理完成的平滑下线机制，以及通过就绪检查控制的零停机切换
• +新增严格的 systemd 套接字激活，并精确验证继承的监听套接字
• +完成 HTTP/1 解析器加固，并加强后台服务的归属管理

发布日期：2026 年 7 月 13 日

• +添加可选的 HTTP 响应安全配置文件和经过验证的请求感知 CORS
• +稳定可运行的 Wasm 策略示例和发布门所需的测试
• +强化转发身份标头、标头解析以及达到容量限制时的重试指导

2026 年 7 月 12 日发布

• +添加 iRules、OpenResty、HAProxy/SPOE 和 VCL 样式策略作业的可运行迁移示例
• +添加有界 ACME 传输、ARI 调度、生命周期诊断和显式条款接受
• +强化可恢复的 ACME 帐户和证书事务、存储边界和快照发布

发布于2026年7月11日

• +启动可选的 WASI Preview 1 边界，显式授予时钟和随机数权限，并默认拒绝导入
• +恢复可信客户端 GeoIP 功能，并支持 CIRCL 组合的国家和地区（Country）与自治系统编号（ASN）数据库
• +强化流式 SSRF 和复制、认证快照、TLS、PHP-FPM、静态服务以及 Wasm 资源限制

发布于 2026 年 7 月 10 日

• +新增可选择启用的 Proxy-Wasm ABI preview，并明确验证 host-call namespace
• +在不受支持的 preview call 到达 upstream 前以确定方式将其拒绝
• +强化 strict host routing、受限 admission、config 信任、cache storage、GeoIP 和 compression

2026 年 7 月 9 日发布

• +为编译后的 WebAssembly module 新增显式 identity，范围覆盖 plugin digest、ABI、hook feature surface 和 Fluxheim version
• +在 process-wide cache-hook ceiling 下新增按 vhost 分配的 cache-hook admission budget
• +扩展受限 Wasm metrics、admin status visibility 和 cross-family live-chain regression coverage

2026 年 7 月 8 日发布

• +为移动端和桌面端的设备类别变体新增受限的 cache-key component host call
• +新增固定的 cache-store TTL、tag 和 stored-header metadata，同时不允许任意 response-header 变更
• +新增 live listener 覆盖，验证 variant isolation、range-cache slice、TTL expiry 和 fail-closed metadata cap

2026 年 7 月 7 日发布

• +在受限的 fluxheim_policy_v1 preview ABI 下新增 live native HTTP/1 cache-lookup 和 cache-store Wasm hooks
• +新增 continue、pass、bypass、skip-store 和 deny 缓存结果，同时不暴露 raw cache keys、TTLs、tags 或 stored metadata
• +拆分 cache-hook admission limits，并保持 cache-store aggregation 的 most-restrictive-wins 规则

2026 年 7 月 6 日发布

• +在受限的 fluxheim_policy_v1 preview ABI 下加入实时 native HTTP/1 route-decision Wasm hook
• +为 canary 和 mirror 路由加入已配置分支的符号化选择，不提供动态 upstream 或 shadow-target 访问
• +路由选择后继续执行 Fluxheim ACL、rate-limit、concurrency、body-limit、redirect 和 header-policy

2026 年 7 月 5 日发布

• +为 vhost 和 route attachment 添加实时 native HTTP/1 request-header 与 response-header Wasm hook
• +保持 header-hook ABI 为符号化接口，只允许白名单内的合成变更，而不是原始 header 或 body 访问
• +将 vhost 级 Wasm header hook 和 fallback response header policy 应用于 PHP-FPM fallback 响应

2026 年 7 月 4 日发布

• +接入 live native HTTP/1 access-decision hooks，支持优先级排序、first-deny-wins 组合和 fail-closed 行为
• +强制执行进程级、plugin 级和 attachment 级执行准入上限

2026 年 7 月 3 日发布

• +为 Wasm 沙盒线新增可选的 fluxheim-wasm workspace crate
• +wasm、wasm-proxy-abi 和 wasm-wasi feature gate 默认关闭，并且与 privacy-mode 不兼容
• +Wasm 插件文件只会从已批准的绝对 root 加载；symlink、非普通文件和过大的 module 都会被拒绝
• +带类型的 Wasm 插件清单会在加载前验证 ABI、phase、fail-mode、path 和 sandbox 限制
• +用 fuel、memory、table、instance、compile-timeout、compile-worker 和每次调用 watchdog 限制 Wasmtime 执行
• +新增真实 Wasm 沙盒 smoke 覆盖，检查成功执行、trap、拒绝 table 增长以及拒绝不安全的 fail-open manifest

2026 年 6 月 30 日发布

• +将临时 native proxy 适配层重命名为 native_proxy，并从常规构建中移除旧的 proxy 兼容性重新导出
• +将负载均衡器管理接口的请求和结果 DTO 移入 fluxheim-load-balancer crate
• +删除常规构建已不再使用的 Pingora 时代无效根适配器，以及陈旧的已禁用运行时和测试代码
• +统一 native proxy 配置存储，使重新加载能够刷新缓存和负载均衡器管理路径共同使用的同一份快照
• +增加原生 HTTP/1 chunked body 溢出的回归测试，并将可观测性冒烟测试镜像固定到确定性标签

2026 年 6 月 30 日发布

• +将普通 runtime 保持在 Fluxheim 自有的 listener、TLS、HTTP/1、HTTP/2、WebSocket、cache、load-balancer、admin、metrics、stream 和 background service 路径上
• +将 auth、metrics、OpenBao cache、discovery、load-balancer cookie 和 TLS private-key secret buffer 迁移到 sanitization crate
• +强化 PHP-FPM/static fallback routing、native disk-cache purge locking、same-key disk-cache mutation serialization 和 native HTTP/2 upstream authority handling
• +增加 peer-fill shared-secret 支持，并要求 non-loopback plaintext peer-fill URL 必须配置该机制
• +扩展 stabilization line 的 privacy、observability、WordPress、load-balancer、smoke-image、randomized-port 和 release-gate 测试覆盖

2026年6月29日发布

• +从普通 Fluxheim 构建配置中移除最后的 Pingora runtime/listener/TLS 适配 crate
• +将原生 HTTP/1 和 HTTP/2 代理 runtime 保持为受支持 route、cache、load-balancer、TLS、WebSocket、admin 和 metrics 配置的标准路径
• +把原生 admin cache purge、stale disk-cache purge、cache object lookup 以及实时 load-balancer stats/mutation handler 接入 Fluxheim 自有 runtime handle
• +更新 dependency-policy 发布门槛，使普通 default/full/edge/PHP/privacy/RPM/source/container 构建只要编译 Pingora crate 就会失败
• +通过标准化 Host 匹配、regex-route 预览、stale purge 锁规避、fail-closed live config 状态和类型化 route-proxy build context，加固原生 admin cache preview 与 purge

2026年6月29日发布

• +为内存、文件系统磁盘、storage-bin、加密磁盘、OpenBao Transit 和 memory+disk 分层补齐原生 proxy-cache 功能
• +支持 Vary 和 request-header 变体、过期内容服务、缓存锁、范围切片缓存、peer-fill 和源站保护预算
• +强化 Authorization、HEAD 旁路、上游 Age 剥离、检查过期算术和 only-if-cached 未命中的缓存准入
• +为内存和磁盘索引补齐原生缓存清除功能，并支持精确、批量、前缀、标签、通配符、route-scope 和 stale 清除
• +为代理计数器、内存/磁盘计量器、缓存查找直方图和重新生成的 traceparent 跨度 ID 添加本机缓存可观察性

2026年6月28日发布

• +Adds native runtime dispatch for proxy, admin, metrics, stream, UDP, and load-balancer refresh tasks
• +Adds metrics token-file loading with zeroizing storage and constant-time bearer-token checks
• +Adds native HTTP/1 proxy runtime startup for plaintext, rustls, OpenSSL, and trusted downstream PROXY protocol listeners
• +将选定的下游 HTTP/2 TLS 连接路由到原生多流适配器
• +强化原生 WebSocket 升级、HTTP/2 流内故障处理、速率限制分片以及请求体的 zeroizing 存储

2026年6月24日发布

• +Moves cache request policy and local-static cache keys into the Pingora-independent fluxheim-cache crate
• +Moves PHP-FPM parsing, params, path mapping, static offload, error-page policy, and keep-alive pooling into fluxheim-php-fpm
• +Adds native memory local-static cache adapters for route and vhost static-web serving
• +Adds native upstream PROXY protocol v1/v2 send support and native Host router construction
• +Adds native runtime manifest and launch-plan evidence for services, listeners, background tasks, and policy rows

发布于 2026 年 6 月 23 日

• +将面向 h2c/prior-knowledge 源站的明文上游 HTTP/2 转发移动到原生 HTTP/1 代理路径中
• +新增池化原生上游 H2 连接，限制流容量，并在响应前池化句柄失败后对安全方法进行重试
• +支持使用现有上游 TLS/SNI/CA 策略进行 TLS ALPN 协商的上游 HTTP/2
• +为明文 http1-and-http2 源站新增显式、默认禁用的 h2c Upgrade 回退
• +限制原生上游 H2 握手、流槽等待、keepalive ping 和 setup 超时

发布于 2026 年 6 月 23 日

• +将继承的全局/vhost 压缩策略移动到原生 HTTP/1 代理和路由代理中
• +将 root/vhost/route 的头策略继承合并到原生路由代理构建中
• +将安全转发客户端 IP 所有权、可信链追加、正则重写、ACL、并发和速率限制移动到原生路径
• +新增原生 ACME HTTP-01 challenge 服务、流量镜像、认证请求和按路由范围的 gRPC 验证

发布于 2026 年 6 月 21 日

• +Moves route-level native response compression onto the HTTP/1 route proxy through fluxheim-compression
• +Moves proxy.error_pages onto native HTTP/1 proxy 由以下内容支持的回退页面 fluxheim-web

发布于 2026 年 6 月 21 日

• +Adds native HTTP/1 route static-web serving backed by fluxheim-web
• +Adds route request-header mutation, response rewrites, static upstream round-robin, and static upstream weights to the native route proxy

发布于 2026 年 6 月 21 日

• +Adds native route redirect actions with safe {uri}, {path}, and {query} expansion
• +Moves route body limits and response-header overlays onto native HTTP/1 route proxy responses

发布于 2026 年 6 月 21 日

• +Adds native HTTP/1 route-proxy execution for exact, prefix, and fallback routes with method filters and safe rewrite handling
• +Adds native-http1-proxy-candidate 行加入运行时切换证据，使剩余兼容性阻塞项更加明确

发布于 2026 年 6 月 20 日

• +在有针对性的一致性测试后，将原生 HTTP/2 下游安全预览提升为可切换状态
• +让代表性的原生运行时切换报告在简单 HTTP/1、HTTP/2、admin、metrics、stream 和 UDP 配置中不再有阻塞项

发布于 2026 年 6 月 20 日

• +Cuts stream and UDP proxy service startup over to Fluxheim-owned native task boundaries
• +Adds cancellation-safe native shutdown waiting and abort-on-cancel background task joins

发布于 2026 年 6 月 20 日

• +Starts native admin and metrics serving behind Fluxheim-owned server primitives
• +加固原生后台句柄，使被丢弃的关键句柄会中止，而不是静默分离任务

发布于 2026 年 6 月 20 日

• +Adds NativeBackgroundSupervisor 用于 Fluxheim 自有后台任务编排
• +Adds critical task watchdog support and hardens shutdown delivery edge cases

发布于 2026 年 6 月 20 日

• +Adds native runtime cutover evidence gates and fluxheim-config-tester --runtime-cutover
• +Moves remaining Pingora exception targets to a documented multi-release exit plan while keeping policy gates active

发布于 2026 年 6 月 19 日

• +Adds explicit pingora-compat 为剩余兼容运行时边界提供功能门控
• +Moves rustls/OpenSSL downstream TLS SNI, certificate storage, reload, PEM parsing, and native HTTP/1 TLS listener previews into Fluxheim-owned code

发布于 2026 年 6 月 19 日

• +继续 Pingora 退出切片，缩小代理、缓存和运行时路径剩余的根兼容表面
• +将原生健康检查拆分为 HTTP/gRPC、数据库、exec 和 TCP/TLS 传输辅助模块，并收紧探测边界

发布于 2026 年 6 月 19 日

• +从以下位置移除直接 Pingora 依赖 fluxheim-load-balancer
• +新增 Fluxheim 自有的有界 HTTP/1.1 和 h2 gRPC 主动健康检查，并覆盖策略以防止重新引入 Pingora

发布于 2026 年 6 月 19 日

• +在以下位置新增原生 HTTP/1.1 代理切换就绪计划 ServerPlan
• +对仅兼容层支持的代理功能采用失败关闭，例如认证子请求、镜像、重定向、strip/rewrite 转换和高级负载均衡策略

发布于 2026 年 6 月 18 日

• +新增 Fluxheim 自有的原生 HTTP/2 上游客户端原语，限制头、正文、trailers 和截止时间
• +新增 h2 客户端/服务器测试，覆盖 trailer 保留、超大响应、流重置和流控超时行为

发布于 2026 年 6 月 18 日

• +向分阶段 HTTP/1.1 代理路径新增原生 rustls/OpenSSL 上游 TLS 和 mTLS 支持
• +为安全方法新增有序静态上游故障转移，并加入有界、禁止跟随的 TLS 材料读取和主机名策略覆盖

发布于 2026 年 6 月 18 日

• +为安全的 content-length 和无正文源站响应新增有界原生 HTTP/1.1 上游连接池
• +新增 keepalive 池大小、上游空闲超时处理、保守的禁止复用保护，以及真实 socket 复用/过期测试

发布于 2026 年 6 月 18 日

• +新增可复用的原生 HTTP/2 连接原语，支持有界请求正文收集和响应 trailer
• +加固 HTTP/2 响应生命周期、处理器超时、DATA 容量处理、禁止头/trailer，以及请求正文清零

发布于 2026 年 6 月 17 日

• +新增原生 HTTP/2 运行时预览门控和 h2 栈探测，限制头、URI、正文、流、帧、缓冲和快速重置策略
• +新增 HTTP/2 预览冒烟覆盖，并扩展原生 HTTP/1 行为覆盖，包括 HTTP/1.0 keep-alive/close 语义

发布于 2026 年 6 月 17 日

• +新增有界原生 HTTP/1 上游客户端，以及面向普通静态上游的分阶段原生代理处理器
• +新增原生代理候选清单、Fluxheim 自有代理头、隐私模式行为，以及对不支持策略层的失败关闭资格判断

发布于 2026 年 6 月 17 日

• +新增基于 Tokio IO 的原生 HTTP/1 连接/监听器运行时，以及分阶段原生静态文件适配器
• +将服务器限制映射到原生 HTTP/1 策略，并新增 socket 测试覆盖 keep-alive、正文分帧、关闭、静态文件、慢客户端和连接上限

发布于 2026 年 6 月 17 日

• +新增 Fluxheim 自有 HTTP/1.0/HTTP/1.1 请求头解析、请求正文分帧分类、Host 验证、持久连接处理和 chunked 解码
• +新增下游 HTTP/1 策略默认值和加固的原生解析器边界，为未来运行时切换做准备

发布于 2026 年 6 月 16 日

• +Moves server bootstrap planning, listener inventory, service intent, background-task intent, HTTP/2 policy, PROXY protocol policy, and private Unix socket planning into fluxheim-server
• +在原生服务器/监听器工作继续推进时，将当前运行时保留为明确的兼容适配器

发布于 2026 年 6 月 16 日

• +Adds fluxheim-tls 作为下游 TLS 监听器规划和 provider 策略边界
• +Moves TLS listener plans, SNI selection, wildcard matching, ALPN/cipher/curve policy, and rustls/OpenSSL provider checks into the TLS crate
• +加固 TLS 功能门控、SNI 回退行为、PROXY v2 签名验证和可信 PROXY CIDR 验证

发布于 2026 年 6 月 16 日

• +新增首个专用 fluxheim-headers 头策略辅助函数边界
• +将 rewrite 算法、转发头处理、逐跳请求策略和重复头合并移动到 Fluxheim 自有头代码中
• +将流 PROXY 协议字节解析器移动到 fluxheim-protocol and tightens privacy/proxy CIDR validation

发布于 2026 年 6 月 15 日

• +将共享后台任务生命周期原语移动到 fluxheim-runtime
• +Moves OTLP metrics export, ACME certificate reload control, admin snapshot validation state, and rollback decisions into Fluxheim-owned runtime/snapshot code
• +加固本地证书重载控制 socket 和私有后端过滤

发布于 2026 年 6 月 15 日

• +Adds fluxheim-stream as the internal TCP stream proxy runtime boundary
• +将流上游选择、PROXY 协议解析/写入、来源策略、DNS 重绑定保护、字节计数和超时处理放入 Fluxheim 自有流代码之后

发布于 2026 年 6 月 14 日

• +Moves cache key identity, object envelopes, disk index management, storage-bin helpers, tag handling, and cache storage interfaces into fluxheim-cache
• +新增测试和发布门禁，在常规 cargo test 运行中强制执行 Pingora 依赖移除目标

发布于 2026 年 6 月 14 日

• +在基础标签之后启动首个具体的 1.6.x 实现版本
• +Removes pingora-load-balancing/pingora-ketama from full and load-balancer image profiles, restores 1.6 load-balancer image builds, and moves TCP health checks plus request-key extraction behind Fluxheim-owned boundaries

发布于 2026 年 6 月 14 日

• +启动 1.6.x Pingora 退出基础线，同时保持运行时行为不变
• +新增模块化策略验证、遗留超大文件例外、运行时基线捕获和性能证据捕获
• +新增受发布门禁约束的 Pingora 依赖例外、运行时一致性夹具和抽取依赖图
• +Added initial fluxheim-runtime and fluxheim-server 边界 crate 加类型化策略证明原语

2026 年 6 月

• +Introduced the enterprise HTTP/TCP load-balancer line with focused binaries, images, runtime member and weight controls, persistence, health checks, queueing, and migration docs
• +Expanded Fluxheim-owned runtime boundaries across HTTP, stream proxying, load balancing, background tasks, cache interfaces, observability, config, and shared crates
• +新增托管亲和 cookie、服务发现、主动且协议感知的健康检查、重启后保留状态和运行时后端变更控制
• +Added UDP beta guardrails, cache origin-protection budgets, ARM/Linux and macOS developer assets, config tester archives, and broad proxy/cache/PHP-FPM security hardening

发布于 2026 年 5 月 25 日

• +Production proxy parity release with trusted-proxy-aware ACLs, local rate limits, concurrency limits, bounded queues, and edge policy metrics
• +gzip, Zstandard, and Brotli response compression with vhost/route overrides and cache-safe Vary handling
• +负载均衡韧性、TLS/协议一致性、PROXY protocol v1/v2、上游 mTLS、HTTP/2 控制和 gRPC 透传

发布于 2026 年 5 月 23 日

• +Managed php-fpm process supervision under the existing php-fpm feature, while external php-fpm remains the default
• +重启监控、有界退避、SIGTERM 先于 SIGKILL 的关闭、已清理环境和私有生成池状态
• +Auditable [vhosts.php.fpm] mode = "managed" 用于私有 socket、worker 数量、进程管理模式、slowlog、临时路径和池文件的配置表面
• +扩展 WordPress PHP-FPM 冒烟覆盖，涵盖外部、托管静态、托管动态、托管 ondemand 和托管 respawn 模式
• +Recommended Wolfi PHP image now installs php-8.5-fpm and uses managed php-fpm container config by default

发布于 2026 年 5 月 23 日

• +FIPS/ISO-required configs fail closed for unsupported internal cryptography, managed ACME, and local cache encryption
• +Provider-backed admin auth, numeric-local-loopback OTLP exception, and OpenBao Transit cache encryption evidence boundary
• +New compliance evidence template and release evidence package sections for regulated reviews

发布于 2026 年 5 月 22 日

• +通过以下方式提供具备 rustls/AWS-LC FIPS 能力的候选后端 tls-rustls-fips
• +FIPS 和 ISO/IEC 19790 rustls 配置别名、配置示例、诊断和验证脚本

发布于 2026 年 5 月 21 日

• +通过以下方式进行具备 OpenSSL FIPS/ISO 能力的 TLS 验证 tls-openssl-fips 以及 provider 诊断
• +FIPS 部署指南、配置夹具、验证脚本、发布证据和 OWASP Top 10 2025 基线

发布于 2026 年 5 月 20 日

• +PHP-FPM keepalive 池化、上游重试/故障转移，以及请求正文磁盘假脱机，以便在负载下更安全运行
• +WordPress routing/cache preset plus PHP application recipes for common framework and forum deployments
• +PHP 指标和 OpenTelemetry 属性，支持 X-Accel-Redirect、X-Sendfile 和 X-Accel-Expires

发布于 2026 年 5 月 18 日

• +fluxheim-acme 用于证书续期、状态和 ACME 重载 socket 信号的独立伴随二进制文件
• +fluxheim-config-tester 用于在 CI 和容器入口点验证配置而不启动网关的独立二进制文件
• +ACME reload Unix socket — 无需重启网关即可拾取实时证书
• +新增 profile-php 构建配置 — proxy + web + php-fpm + tls-rustls + security
• +Security hardening improvements across the request pipeline

发布于 2026 年 5 月 16 日

• +Opt-in PHP-FPM FastCGI bridge for WordPress-style front-controller applications
• +严格脚本解析和有界 FastCGI 请求/响应处理
• +Browser-validated WordPress proxy/PHP cookie compatibility fixes
• +PHP-FPM 可以从同一根目录提供静态资源，同时将 PHP 路由到 FPM
• +New php-fpm Cargo feature (implies 代理 and web)

发布于 2026 年 5 月 14 日

• +Shared ingress/TLS feature-graph split — focused cache and proxy profiles are now TLS/ACME-capable
• +New profile-cache-edge — cache without static web module
• +New profile-proxy-edge — focused reverse proxy edge
• +Official focused container images for cache and proxy profiles

2026 年 5 月

2026

• + TLS 策略配置
• + Multi-certificate rustls SNI
• + 托管 ACME 证书签发和续期
• + 支持 EAB 的签发机构（Actalis 等）
• + 文件支持的 TLS secret
• + acme-init 交互式签发机构引导工具
• + 打包的证书续期 systemd 单元

2026

• + 按 Host 头进行虚拟主机路由，并带默认 vhost 回退
• + Route-level static, proxy, and redirect actions
• + Static file serving with MIME detection, ETag, conditional 304, byte ranges
• + Whole-vhost and route-level reverse proxying
• + rustls TLS with SNI, static/bought certificate support
• + 安全的 ACME HTTP-01 challenge 转发
• + Admin control-plane with bearer-token auth and brute-force throttling
• + 安全的请求/响应头策略
• + 可选 HTTP → HTTPS 重定向，并进行安全 Host 验证
• + Systemd 单元、RPM 打包
• + Rootless Podman container images