架构

组件复制链接

控制台（ROLE=app|worker|all）
├── :3000  HTTP ◀── 浏览器、API 调用方
│          /node-channel（WebSocket，默认关闭）──▶ 回环连接 :8443
├── :8443  Connect-RPC（TLS + mTLS）◀── edgeweir-node agent ── OpenResty ──▶ 源站
│                                    ◀── edgeweir-node probe（区域探针）──▶ 节点的监听端口
├── SQL、LISTEN/NOTIFY ──▶ PostgreSQL 18
├── HTTP（可选）──▶ ClickHouse
└── 子进程 stdin/stdout ──▶ edgeweir-certd ──▶ ACME CA、DNS 服务商 API

控制台与节点之间唯一的契约是 proto/ 中的 edgeweir.node.v1（当前 tag proto/v0.21.0）。开源核心与商业产品的边界见 LICENSING.md。

仓库布局复制链接

进程与角色复制链接

ROLE 决定一个进程运行的部分。所有角色使用同一镜像与同一数据库；部署形态与扩展见 部署概览，全部变量见 环境变量。

启动顺序复制链接

1. 解析并校验环境变量（lib/env.ts）；无效时列出变量名并退出。
2. 等待 PostgreSQL 可连接，最长 60 秒。
3. 在专用连接上持 advisory lock 执行未应用的迁移；多个实例同时启动时串行执行。
4. 确认内部 CA 私钥信封由 EDGEWEIR_MASTER_KEY 或 EDGEWEIR_MASTER_KEY_PREVIOUS 加密，否则拒绝启动。确定会话 secret（BETTER_AUTH_SECRET，或由主密钥派生；轮换主密钥后为入库的原值），与数据库中的 HMAC 校验值比对：派生值与数据库此前使用的 secret 不一致时拒绝启动；显式设置的新值被接受并记录警告（SECURITY.md）。
5. 把旧版本写入的 v1 信封重新加密为 v2；设置了 EDGEWEIR_MASTER_KEY_PREVIOUS 时，把它加密的全部信封改用当前主密钥加密，并在日志中记录仍使用它的数量（services/envelope-rotation.ts）。
6. 加载内部 CA；数据库中没有时生成。
7. app、all：未初始化时生成或读取 setup token 并写入日志；开始 LISTEN；由内部 CA 签发节点通道服务端证书并开始监听。
8. worker、all：启动 pg-boss，创建队列，注册定时任务。
9. app、all：HTTP 服务开始监听。

收到 SIGTERM 或 SIGINT 时，同时停止 HTTP 与节点通道监听、结束节点的配置监视流并停止 pg-boss：进行中的请求最多再处理 3 秒，pg-boss 最多等待 5 秒完成当前任务，随后关闭数据库连接池。整个过程超过 8 秒时进程以 1 退出。

端口与路由复制链接

反向代理与四层透传配置见 端口、反向代理与可信代理。

HTTP 路由复制链接

/api、/rpc、/downloads 下没有匹配的请求，以及 /install.sh、/healthz 的其他方法，返回 404 JSON，不回退到 SPA。所有响应带安全头，CSP 为 default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'none'。

界面区域复制链接

认证与授权复制链接

端点、OpenAPI 文档与 AccessKey 的细节见 API 与端点。控制台只有一个运营者账号，不分组织与角色：除 system.status、system.setup 外，所有过程都经 rpc/base.ts 的 authed（有效会话、启用中的 AccessKey 或服务账号 key）。

客户端 IP（审计日志、登录限速）取 TCP 对端地址；X-Forwarded-For 与 X-Real-IP 只在对端属于 EDGEWEIR_TRUSTED_PROXIES 时采用（resolveClientIp）。认证接口的限速计数存在 rate_limit 表，多实例共享。经 better-auth 完成的登录与账号变更由 lib/auth-audit.ts 的钩子写审计。

账号找回没有 HTTP 入口，只在服务器上进行：dist/server/recover.js（services/recovery.ts）读取控制台的环境变量，在一个事务中重置密码（better-auth 的 password.hash）、停用两步验证、删除账号的会话与进行中的两步验证登录，并写入审计 account.recover（命令行）。

配置发布复制链接

改变节点配置的操作在一个事务内完成：

1. 写业务表（网站、域名、源站、缓存规则、规则、IP 名单、L4 应用、证书、ACME HTTP-01 响应、源站允许清单、全站清除缓存的代际号）。
2. publishRevision() 对集群加 advisory lock，读取该集群启用的网站与 L4 应用、全局规则、全部 IP 名单、源站允许清单、证书引用与未过期的 HTTP-01 响应，compileNodeConfig() 生成规范化的 NodeConfig IR。
3. 计算 content_hash：revision 与 content_hash 置空后二进制编码的 SHA-256。与上一版相同则不产生新 revision。
4. 新 revision 号为「库中最新 revision」与「本集群节点经验证的最高已应用 revision」中较大者加一；数据库从备份恢复后 revision 不回退。
5. 写入 config_revision，同一事务内 pg_notify('edgeweir_config', …)，再写审计。
6. 提交后，每个 app 实例经 LISTEN 收到通知，推给该集群节点的 WatchConfig 流。
7. 节点调用 GetConfig(base_revision=已应用 revision) 取得 diff 或快照与 revision 回执，校验哈希，落盘为 last-known-good，应用到 OpenResty，以 ReportStatus 回报。
8. 控制台在 node_config_status 记录每个节点已应用的 revision 与心跳；45 秒内有心跳即为在线。

revision 原因是代码（revision_reason_<code>），定义在 packages/contract/src/errors.ts。规则语言见 规则。

节点任务复制链接

URL、目录、Host、Cache-Tag、整站刷新与 URL、站点地图预热不产生 revision，以类型化任务下发：

1. cacheTasks.create 写入 cache_task，为每个启用节点写入 cache_task_node（停用节点记为跳过），pg_notify('edgeweir_tasks', …)。
2. WatchConfig 流发出 WATCH_EVENT_TASKS。
3. 节点以 PullTasks 拉取，以 ReportTaskResult 回报结果。
4. 交出 5 分钟后没有结果的任务再次交出；7 天未完成记为失败。节点重新连接时，控制台为其错过的清缓存按网站补发整站刷新。

网站开启 PURGE 方法时，节点把带密钥的 PURGE 请求经 agent 校验后以 SubmitPurge 交给控制台，控制台按第 1 步为集群创建 URL 刷新任务。

Host 与 Cache-Tag 刷新需要节点能力 purge-tag-v1，移动端与站点地图预热需要 prefetch-v2；受影响集群有活动节点缺少能力时，控制台拒绝创建任务（NODE_CAPABILITY_REQUIRED）。节点用刷新标记的时间点与缓存对象的 Cache-Tag 索引计算缓存键，被刷新的对象（包括过期内容）不再被查找；站点地图由节点经本机边缘层取回。行为说明见 源站与缓存。

节点升级同样经 PullTasks 下发：升级任务先在一个节点组试运行，健康观察通过后推进，其余节点每批最多四分之一，每个任务下发后 30 分钟内须完成。节点拉取任务时先不加锁检查有没有自己的升级任务，有才取集群的升级锁。行为说明见 节点升级。

动态封禁复制链接

IP 封禁（ip_ban）不产生 revision，也不经配置金丝雀，经节点通道单独下发：

1. 每次写入（新建、再次封禁、解封、自动封禁的写入与超额移除）在同一个事务级 advisory lock 下取 nextval('ip_ban_seq') 作为该行的 seq，提交顺序与序号顺序一致；同一事务内 pg_notify('edgeweir_bans', …)（载荷为受影响的集群，平台封禁为全部）。手动操作写审计 ban.create、ban.update、ban.delete。
2. 具备 bans-v1 的节点在 WatchConfig 流建立时与每次通知后收到 WATCH_EVENT_BANS（ban_sequence 为序列当前值）。
3. 节点调用 GetBans(after_sequence)：从 0 或从大于序列当前值的序号（数据库恢复后）开始时返回快照（reset），否则返回之后变化的有效封禁与已解封的 id；到期的封禁不返回，节点按到期时间失效。读取先取同一把锁的共享模式，序列当前值不会越过未提交的写入。每页默认 2000 条、最多 5000 条；sequence 为本页最大序号，最后一页为序列当前值。
4. 节点以 ReportBans 上报自己产生的自动封禁（每次最多 1000 条），控制台按（节点、网站、地址）合并；以 ReportStatus.bans 上报已应用序号、容量与未生效的封禁，保存在 node.ban_status。

行为见 封禁。

挑战与 CC 防护复制链接

挑战、Under Attack 与分级 CC 由节点在本地执行，控制台负责配置、密钥与事件：

1. 网站的防护（site_protection）、全局 Under Attack（系统设置 protection_settings）与 CC 模板（cc_template）编译进 NodeConfig。只有集群用到挑战（全局 Under Attack、网站 Under Attack、启用的 CC 策略或 challenge 规则）时，IR 才带 challenge_keys、platform_protection 与每个网站的 protection，required_features 加 challenge-v1；只开 JA4 日志的网站单独带 protection。规则读取 tls.ja4（或按它限速）、网站记录 JA4 时加 ja4-v1。其余集群的内容哈希不变。
2. 通行凭证的 HMAC 密钥按集群，每个集群三把（next、current、previous），集群第一次用到挑战时创建。IR 只含密钥 id 与角色（按 id 排序）；节点以 GetChallengeKeys 取得 32 字节的密钥，只能取到本集群的。密钥在第一次被取用时生成，以信封加密保存（用途 challenge_key.secret，绑定行 id）。
3. maintenance.rotate-challenge-keys 每小时检查一次，最新的密钥满一天就轮换：previous 删除、current 变 previous、next 变 current、新建 next；最新 revision 带密钥的集群发布新 revision（原因 challenge_keys_rotated），审计 cluster.challenge_keys_rotate。
4. 节点以 ReportSecurityEvents 上报级别变化、路径升降级与自动封禁（每次最多 500 条），控制台按（节点、事件 id）幂等写入 security_event；网站从正常升级时触发告警 cc_mitigation，同一网站 15 分钟内最多一次。心跳的 ReportStatus.security 保存在 node.security_state。maintenance.prune-security-events 按保留天数（默认 30 天）删除事件。

行为见 挑战与 CC 防护。

压缩与 OWASP CRS复制链接

节点以为 Edgeweir 构建的 OpenResty（edgeweir-openresty，可选模块 edgeweir-openresty-modsecurity）执行压缩与 CRS，按实际构建上报 brotli-v1、zstd-v1、modsecurity-v1。控制台负责设置、能力门槛与命中统计：

1. 网站的 Brotli、Zstandard 设置与 Gzip 一起保存在 site.tls_settings，编译进 TlsOptions；只有开启的算法带级别、最小长度与类型（类型排序去重），未开启时内容哈希不变。有启用网站开启时 required_features 加 brotli-v1 / zstd-v1。
2. 网站的 CRS 设置保存在 site_waf；模式不为关闭时编译为 Site.waf（排除的规则 id 升序去重），required_features 加 modsecurity-v1。
3. 与其他能力相同，引入集群活动节点缺少的能力时，服务账号与后台任务的发布返回 NODE_CAPABILITY_REQUIRED，运营者本人可以发布。sites.features 按网站给出三项功能能否开启（原因 nodes），界面据此禁用开关。回滚按保留的网站重新计算这三项能力。
4. ReportStats 的 waf_rules（规则 id → 请求数）按节点、网站、分钟最多保留 50 条（节点只上报命中最多的 20 条），与其他分钟统计一起汇总到小时和天，并写入 ClickHouse minute_stats 副本；waf.topRules 按时间范围汇总。访问日志保存命中的规则 id（最多 16 个，升序）与 waf_blocked（PostgreSQL、ClickHouse、CSV）。「记录」动作的规则同样：MinuteStats.logged_rules（proto v0.18.0，节点能力 rule-log-v1；规则 id → 请求数，只收 UUID）按节点、网站、分钟最多保留 50 条（节点同样只上报 20 条），存为 logged_rules，经同样的汇总与 ClickHouse 副本；rules.topLogged 按时间范围汇总并关联规则的当前名称（网站自己的规则与全局规则），同时给出网站所在集群里缺少 rule-log-v1 的活动节点数。

行为见 HTTPS 与证书 与 OWASP CRS 托管规则。

规则引擎扩展复制链接

控制台是表达式语法的唯一权威：packages/rule-engine 解析条件与值表达式，packages/config-compiler 输出类型化 IR；节点逐项校验 IR 后执行，不接收表达式文本。函数、值表达式、批量重定向、源站组、缓存规则条件与新的规则动作由节点能力 rules-v2 标明：

1. 函数调用编码为 RuleExpression 的 call、field、const 节点。重定向目标与改写路径的值表达式写入 RuleAction.target；set_query 按名称排序，remove_query 排序去重；preserve_query 只在与动作默认值不同时写入。
2. 缓存规则以表达式保存（cache_rule.expression，引用的名单记在 list_ids）。构建器形状的表达式编译为原来的 path_prefixes、paths、extensions，旧节点照常执行，内容哈希不变；其他表达式编译为 CacheRuleMatch.condition。browser_ttl_seconds 写入 CacheRule。
3. 批量重定向编译为 Site.bulk_redirects（按来源排序），源站组写入 Origin.group。
4. 配置用到上述任何一项（含 compression 阶段与 config 动作的新字段）时 required_features 加 rules-v2；没有用到的配置与之前编码相同。与其他能力相同，服务账号与后台任务的发布引入集群活动节点缺少的 rules-v2 时返回 NODE_CAPABILITY_REQUIRED，运营者本人可以发布；sites.features 的 rulesV2 供界面锁定相关控件。

proto v0.22.0 的补充由能力 rules-v3 标明：Cookie 与查询参数按名取值（http.request.cookies.<名称>、http.request.uri.args.<名称>，取第一个原始值）、请求与连接的新字段、http.response.cache_status、编码与摘要函数、substring（整数参数为 value_type 为 number 的 const 节点）、to_string（参数可为任何类型）、wildcard 与 strict_wildcard 比较；请求头与响应头的值表达式复用 RuleAction.target，QueryParam.expression 计算查询参数值，RuleAction.append 追加响应头行；重定向 303；错误页的 {{time}}、{{path}}。节点只为规则读到这些字段的网站计算它们；算出的报头值超过 4096 字节或含控制字符时跳过该动作（每条规则每节点 60 秒一条 NOTICE，消息只含网站与规则 ID），查询参数值求值失败仍按失败关闭处理。没有用到这些的配置逐字节不变（跨语言内容哈希向量 content_hash_vector_v0220.json）。

proto v0.23.0 增加三项能力。edge-ports-v1：Listener 可以是 80 / 443 之外的端口（集群的附加端口），Site.ports 列出网站绑定的监听端口（空为全部监听，即旧语义；集群没有附加端口且网站保持 80 / 443 时编译为空），TlsOptions.redirect_status / redirect_port / redirect_excluded_domains 为 HTTPS 跳转选项；节点只在网站绑定的端口上为它渲染 server 块，路由器与 TLS 回调在未绑定的端口上按未知域名处理。client-ip-v1：NodeConfig.client_address 为集群的访客 IP 来源，PROXY protocol 模式时每个 Listener.proxy_protocol 都为真，可信代理报头模式由 nginx realip（real_ip_recursive on）读报头；回源 X-Forwarded-For 为收到的链加直连对端（$realip_remote_addr），规则字段 ip.peer 为直连对端，可信 CIDR 永不封禁、不计入 CC 单 IP 计数。l4-v2：L4App.port_end（端口段，stream listen 端口区间）、L4Origin.port 为 0 表示取到达端口、L4App.certificate_id / tls_minimum_version（stream ssl_client_hello_by_lua / ssl_certificate_by_lua 按 SNI 校验后终结 TLS，证书材料随 L4 表下发）。监听端口与访客 IP 是集群的当前状态：回滚沿用当前的端口与设置，网站的端口与跳转选项取当前值（refreshDerived(config, edge)）。跨语言内容哈希向量 content_hash_vector_v0230.json。

行为见 规则、IP 名单与 GeoIP 与 源站与缓存。

四层转发复制链接

TCP / UDP 的 L4 应用由节点的 stream 子系统转发，控制台负责端口、配置、DNS 与统计：

1. 端口池（cluster_port_pool）只在控制台使用：L4 应用的端口必须落在其集群该协议的端口池内（1024–65535，同协议不重叠，不含集群 HTTP / HTTPS 监听的端口）。端口池与应用的写入在集群的 advisory lock 下串行校验；修改端口池不发布 revision。
2. L4 应用（l4_app、l4_origin）随集群 revision 发布：启用的应用编译为 NodeConfig.l4_apps（按 id 排序，带所引用 IP 名单的 id），required_features 加 l4-v1；停用的应用不下发。源站遵守与网站相同的源站地址策略。
3. 节点把端口、协议、是否接受 PROXY protocol 与发送版本渲染为 stream {} 中的 server 并 reload，旧 worker 继续服务已有的 TCP 连接直到结束；源站、被动健康检查参数、超时、名单与连接上限经本机控制 socket 热更新。只有既接受又发送 PROXY protocol 的应用使用 Lua 中继，其余（含 v2）由 nginx 原生转发。
4. DNS：compileBindingPlan 为每个启用的应用写 <应用 id>.<集群域名> CNAME（开启线路别名时另有 <线路>.<应用 id>.<集群域名>），与网站共用汇总记录、解析线路与备用节点组。
5. 统计：节点在 ReportStatsV2Request.l4_stats 中上报每个应用每分钟的 connections、refused、peak_concurrent、bytes_received、bytes_sent，与网站的分钟桶同批，共用批次序号去重；控制台只接受节点所在集群的应用，写入 l4_minute_stats（不汇总，保留 7 天），l4Apps.stats 按范围以 60、300 或 3600 秒分桶。
6. 回滚与金丝雀的稳定版本按当前状态处理 L4 应用：当前停用的应用不下发；已删除、端口已不在端口池内或引用已删除名单的应用使运营者的回滚失败（ROLLBACK_RESOURCE_UNAVAILABLE），在稳定版本中被略去。

行为见 四层转发。

节点通道复制链接

Connect-RPC over HTTPS，由控制台进程自己终结 TLS。

注册顺序：

1. 运营者生成安装命令：一次性 token（有效期 5 分钟至 7 天，默认 60 分钟，库中只存 SHA-256）与内部 CA 的 SHA-256 指纹（--ca-sha256）。token 经 EDGEWEIR_TOKEN 环境变量传递。
2. 节点核对服务端证书链中的 CA 指纹，再发送 token 与本地生成的 CSR（Enroll）。
3. 控制台验证 CSR 签名，签发节点证书，在同一事务内把 token 标记为已用并写审计。

安装命令与 install.sh 的校验见 接入节点。

控制台绝不保存 SSH 凭据；节点只经控制台生成的一次性安装命令接入，由节点主动注册。

除 Enroll、EnrollProbe 外的 RPC 都要求经内部 CA 校验的客户端证书，且序列号等于库中记录的当前序列号：证书轮换后旧证书立即失效，删除节点或探针时序列号写入 node_certificate_revocation。停用或删除的节点每次 RPC 都被拒绝，打开的 WatchConfig 流随之关闭；停用的探针只能续期证书。

revision 回执由主密钥封装（用途 node.revision_receipt，绑定节点 ID），内容为集群、revision 与内容哈希。节点把回执保存在本地并在 ReportStatus 中带回；节点报告的已应用 revision 高于控制台最新 revision 且回执无效时，请求被拒绝。轮换主密钥期间，旧主密钥封装的回执仍有效。

证书与 DNS复制链接

edgeweir-certd 负责 ACME 签发、续期、吊销与 DNS 记录操作。

1. pg-boss 队列 certificates.sweep 每分钟选出待签发与到达 renew_at 的证书（新申请与手动续期在前，其余按 renew_at，同时处理 3 张）。失败后按剩余有效期退避（十分之一，10 分钟到 12 小时；首次签发 1 小时）；因名称未解析到节点（http01_dns_not_pointing）失败的 HTTP-01 证书，每 5 分钟重新解析一次，解析正确后立即重试。已签发的证书按 CA 的 Retry-After（1 到 24 小时，默认 6 小时）查询 ARI 续期窗口，窗口早于 renew_at 时提前续期。
2. worker 启动 EDGEWEIR_CERTD_BIN（镜像内为 /usr/local/bin/edgeweir-certd），环境变量只保留 PATH 与 EDGEWEIR_DNS_TEST_ENDPOINT。
3. 向 stdin 写一行 JSON 请求（命令与参数，含 ACME 账户与 DNS 凭据）。certd 在 stdout 上逐行输出 JSON 事件（account、http01.present、http01.cleanup、dns01.prepare、dns01.cleanup），控制台处理后在 stdin 回复确认；最后一行为结果。
4. http01.present 一次带上订单的全部 HTTP-01 挑战：写入 acme_challenge，每个相关集群只发布一个 revision，等节点应用后 certd 再请 CA 验证（同时 4 个）；http01.cleanup 只删行，不发布（挑战到期或本次操作结束后，节点与下一个 revision 都不再带它）。挑战 revision 不计入 200 个保留数，一小时后删除。dns01.prepare 在 certd 写入 TXT 记录之前把清理责任登记到 dns_challenge_lease；完成、失败或重启后只清理本次操作写入的值。account 事件的 ACME 账户信封加密后写入 acme_account，同一目录、EAB key id 与邮箱的证书共用一个账户。
5. 结果写回 certificate：证书链（只存证书）、指纹、到期时间、下次续期时间与信封加密的私钥（PKCS #8）；带 bindSiteId 的申请（网站 HTTPS 页签的一键启用，之前由 https.check 一次列出节点、解析、DNS 凭据与 CAA 的全部阻碍）在同一事务内绑定到网站（不改强制 HTTPS 等其他设置）；引用该证书的集群发布新 revision。

网站证书尚未覆盖的域名（证书正为新域名重签）在集群全部活动节点具备 tls-pending-domains-v1 时带 Domain.tls_pending 下发（proto v0.19.0），节点只以 HTTP 服务它们；否则这些域名在新证书签发前不下发。

上传与签发结果都不接受 EC 密钥使用显式曲线参数的证书，节点（Go crypto/tls）无法加载它们。此前保存的上传证书由 worker 启动时的 maintenance.check-certificates 解开私钥检查：节点无法加载的标记为 error，last_error 为 certificate_chain_explicit_curve 或 certificate_key_explicit_curve，并写审计日志（certificate.unloadable）。网站 HTTPS 保存时直接检查所选证书，这类证书以 CERTIFICATE_CHAIN_EXPLICIT_CURVE / CERTIFICATE_KEY_EXPLICIT_CURVE 拒绝；已绑定它的网站不被自动改动，换绑其他证书或取消证书后，新 revision 才能在该集群的节点上应用。

DNS 调度按集群绑定（dns_binding，模式为不管理、手动或自动）：dns.reconcile 每分钟按健康节点与网站域名计算每个自动模式集群的记录（每个集群一份地址记录，all.<域名> 按解析线路各一组，每个网站一条 CNAME；节点地址与备用节点组见区域探针与智能调度），生成该集群的 dns_revision，写入绑定所选服务商账号（platform_dns_provider）的区域；各集群各自发布与对账，一个服务商不可用不影响其他集群；同一集群同一时间只有一个进程在写（dns_lease）。节点在新版本发布后 2 分钟内应用期间保留在记录中。写入外部记录之前先在 dns_managed_name 登记名称，部分写入可修复；新记录先于被替换的记录写入。手动模式只生成需要手动创建的记录与 zone 文件，不写 DNS。DNS 调度的服务商账号与 DNS-01 凭据使用同一份服务商目录。网站的域名保存后即参与路由，一个域名只属于一个网站。行为说明见 HTTPS 与证书 与 DNS 调度与告警。

区域探针与智能调度复制链接

1. 探测方：区域探针（probe，edgeweir-node probe 以一次性 probe_token 经 EnrollProbe 注册），或 node.probe_enabled 且节点组有区域的节点（ReportStatus 响应 probe=true）。
2. GetProbeTargets 返回每个启用节点的调度地址（node_ip：有 configured 行时只用它们及其级别，否则 reported 的公网地址）× 集群最新 revision 的监听端口，附探测间隔、超时与尝试次数；集群全部活动节点具备 probe-health-v1 时 HTTP / HTTPS 监听以健康端点探测，否则只做 TCP。兼任探针的节点不探测自己。
3. ReportProbeResults 只接受当前目标，写入 probe_result（每个探测方、节点、地址、端口一行，最新值），1 小时未更新的行删除。
4. 每 10 秒（worker 进程内定时器，租约保证同一时间一个进程）与每次探针上报后（每集群每进程至多每 2 秒），每个集群在事务内（advisory lock）求值：先按窗口（3 个探测间隔，至少 15 秒）内的结果更新 node_address_state（严格多数的探测方失败持续 ipDownSeconds 记为不可达，持续 ipUpSeconds 不失败恢复），再对每条 scheduling_rule 与节点推进 scheduling_state（条件成立起点、动作起点、解除起点）。
5. 地址级别变化发布集群的 DNS revision（原因 health）。规则的生效与恢复各发布一个（原因 scheduling，reason_params 为规则、节点、动作与事件），以系统身份写审计 scheduling.activate / scheduling.recover，并触发或解除平台告警 scheduling_action。发布了 revision 的集群随即写入 DNS。
6. compileBindingPlan 以节点的有效级别（最低的可达级别，backup_ip 动作至少备 1）、规则的摘除与线路的备用节点组（健康地址少于 minHealthyIps 或 backup_group 动作）计算每条绑定线路的地址，all.<域名> 按解析线路写入。大面积摘除保护按名称、类型与解析线路比较，备用节点组的切换只在清空记录集时计入。

节点指标（ReportStatusRequest.metrics，metrics-v1）保存在 node.metrics，只有最新值；调度把 60 秒前的指标视为缺失。

行为见 区域探针与智能调度。

统计、日志与告警复制链接

访问日志按网站采样，采样率默认 0（关闭）。节点预聚合的分钟统计写入 node_minute_stats；worker 汇总到 node_hour_stats 与 node_day_stats，视图 traffic_hour_stats 合并已汇总与待汇总的数据。概览、网站统计与平台概览按 1 小时、6 小时、24 小时、7 天、30 天分桶查询（date_bin）；7 天与 30 天读取小时数据。

告警（alerts.sweep，每分钟）检测节点离线、证书即将到期、源站不可用与 5xx 过高（CC 防护升级 cc_mitigation 由节点事件触发，节点不再报告升级后恢复），生成 alert_event，按 alert_subscription 生成 alert_delivery，经 alert_channel（webhook、邮件、钉钉、企业微信或 Telegram）发送；订阅按渠道，覆盖一组网站（alert_subscription_site）或全部网站（all_sites）；投递时重新检查渠道是否启用与订阅是否仍然有效，「接收所有告警」的渠道接收全部告警。集群告警（配置金丝雀回滚、DNS 大面积摘除被阻止、调度规则作用于节点 scheduling_action 等）由各自的流程触发与解除，只投递到「接收所有告警」的渠道。访问日志与 AccessKey 的使用见 访问日志与 AccessKey。

后台任务复制链接

数据模型复制链接

表定义在 packages/db/src/schema；迁移为 drizzle-kit 生成的纯 SQL，位于 packages/db/migrations，控制台启动时执行（见 启动顺序）。

账号与身份复制链接

基础设施复制链接

网站与配置复制链接

证书、DNS 与域名复制链接

统计、日志、任务与告警复制链接

视图 traffic_hour_stats 合并小时汇总与尚未汇总的分钟数据，不重复计数。

迁移复制链接

构建产物复制链接

基础镜像按 tag 与多架构 index digest 固定。镜像版本号为 <YYYYMMDD>-<commit>（scripts/image-version.sh），写入 EDGEWEIR_VERSION 与镜像标签 org.opencontainers.image.version；完整提交 ID 写入 org.opencontainers.image.revision。开发命令与测试见 CONTRIBUTING.md。

可观测性复制链接