Rust&Go

在云原生时代，"全球部署、就近响应"几乎是每个开发者的默认追求。Cloudflare Workers 把这件事做到了极致：你的函数可以运行在遍布全球的 300 多个数据中心里，冷启动时间近乎为零。 但

HTTP/3 正在悄然成为互联网的新基础设施。截至目前，全球已有相当比例的 Web 流量跑在 HTTP/3 之上，Cloudflare 自身的网络每天都在处理海量的 HTTP/3 请求。然而，随着这一

有些性能问题，藏在最不起眼的地方。 Cloudflare 的工程师在审查 pingora-origin 的代码时，看到了一个注释： 函数只有三行，逻辑极其简单——遍历一个内部 Header 列表，从

2024 年 2 月，Cloudflare 宣布将 Pingora 以 Apache 2.0 协议开源。 Pingora 不是一个新项目。在此之前，它已经在 Cloudflare 的全球网络上悄悄运行

每秒 950 万个请求，每个请求都要跑一次机器学习推理，打出一个安全评分，决定这个请求是攻击流量还是正常用户。 这是 Cloudflare WAF Attack Score 系统每天面对的现实。在这个

有些功能，不是技术上难，而是做对了才算真难。 通配符（Wildcard）匹配就是这样。它的概念简单得不能再简单——用一个 * 号代表"任意内容"——但要在一个服务数千万域名的规则引擎里把它做对，背后藏

写一个在本地跑起来的程序，和把这个程序部署成全球分布式服务，是两件本质上不同的事情。 很多工程师都经历过这个阶段：一个在笔记本上表现良好的原型，一旦进入生产环境，就开始暴露出各种问题——日志不够用、配

调试是衡量一门语言或运行时是否成熟的重要标志。一个没有完善调试工具链的环境，开发者往往只能靠最原始的方式排查问题：在代码里插满打印语句，部署，等崩溃，看日志，猜原因，再部署。 在 WebAssembl

有一类工程问题，不是因为代码写错了，而是因为系统架构在规模增长之后触碰到了物理极限。 Cloudflare 的机器学习团队经历的正是这种情况。他们的 Bot 检测系统需要对每一个 HTTP 请求做实时

互联网的性能竞争，从来不是一场宣传战，而是一场持续的测量和追赶。 2025 年生日周，Cloudflare 公布了一个数字：在全球前 1000 大网络中，他们是最快的网络服务商的比例是 40%。同期博

这是一道看起来无解的题。 新一代 AMD 处理器提供了两倍的核心数，但每个核心能用到的 L3 缓存只剩原来的六分之一。对于高度依赖缓存局部性的网络服务来说，这几乎是一个不可接受的退步。 Cloudfl

Matrix 是一个去中心化的即时通讯协议，在隐私保护和去中心化领域算是公认的标杆。很多政府机构、开源社区和注重隐私的组织都在用它。 对于个人开发者来说，用 Matrix 的理由往往更加朴素：把 Di

为什么防火墙引擎的性能变得紧迫 Cloudflare 的防火墙规则产品（Firewall Rules）背后是一个叫做 Wirefilter 的表达式匹配引擎。用户写下类似这样的规则： 每一条进入 Cl

背景 要理解 wrangler 是什么、解决了什么问题，需要先把它涉及的三层技术说清楚。 Cloudflare Workers 是 Cloudflare 的边缘计算平台。和传统的云函数不同，Worke

长期以来，在 Cloudflare Workers 上运行 Rust 代码，从技术上是可行的——Workers 平台本身支持 WebAssembly，而 Rust 编译到 WebAssembly 是一

有一类工程问题，乍看不起眼，却会在系统复杂度增长后造成真实的用户伤害。 Cron 表达式解析就是这样一个问题。 Cloudflare 在为 Workers 开发 Cron Triggers 功能时，遇

长久以来，AI 编程助手能写代码，但不能真正"上线"。它生成了完整的项目，然后在部署环节停下来，等你手动去注册账号、复制粘贴 API Token、输入信用卡信息。这个最后几步，始终需要人来完成。 Cl

内容结构概览 引言 —— 背景与问题缘起 Cloudflare Firewall Rules 的需求 为什么选择 Rust 解析器的设计 Wireshark DSL 语法的歧义性挑战 三种解析方案的对

一个越来越难用的防火墙 如果你用过 Cloudflare 的防火墙，你可能经历过这样的困境：想同时根据 IP 和 URI 拦截某个请求，发现做不到。想说"来自某个 AS 号、且访问路径包含 /wp-a

背景 Cloudflare Workers 是 Cloudflare 提供的 Serverless 运行平台，代码运行在全球 150+ 个数据中心的边缘节点上。它原生支持 JavaScript，而随着