商业化平台架构

本文档定义 CheeseWAF 商业化平台架构设计，涵盖控制面、数据面、插件安全规范及受限网络运维边界。

数据面和控制面

系统采用控制平面与数据平面分离的架构设计：

• WAF 数据面：负责高并发流量检测、反向代理转发与本地生效策略快照评估，保证业务转发的连续性与低延迟。
• 独立控制面（cheesewaf-control）：负责集群协同、配置管理与期望状态分发，提供本地绑定的健康探测、就绪检查及管理接口。运行与配置细节见独立控制面运行时。
• 状态存储与集群：生产模式支持外接 PostgreSQL 持久化管理数据，结合 native-raft 维护集群拓扑与状态同步，通过 Redis 支撑短期租约与安全辅助缓存；生产配置遵循 fail-closed 原则，保障状态一致性。

插件与 CRP 规范

CRP（CheeseWAF Resources Package）是平台定义的标准化资源扩展包：

• 信任根与签名校验：支持官方 Vendor Root 与企业私有根，采用 Ed25519 阈值签名（如 2-of-3 签名）防篡改。
• 本地校验与暂存：CLI 提供 crp verify 与 crp stage 命令，在显式指定信任根与来源的前提下进行离线解包、摘要校验与受控目录暂存。
• 安全生命周期：支持基于策略快照的安全激活与回滚机制，严格校验扩展包完整性与授权状态。
• 发布与更新：通过只读 HTTPS 索引保障包引索的一致性，遵循本地安全留观与确定性交付原则。

DuckDB 作为面向日志审计的离线分析扩展，采用异步一次性作业模式读取脱敏 Parquet 快照，只输出标准 analysis-record/v1 记录，完全独立于请求热路径运行，不影响 WAF 在线转发性能。

离线模式与临时出站

在物理隔离或内网环境中，离线模式切断管理扩展的所有外部主动出站连接，同时保障数据面至后端源站（Origin）的正常转发：

• 本地 cheesewaf temporary-online probe 提供一次性受限 HTTPS 代理，需管理员二次授权，具备 IP 与 TLS 固定绑定及审计能力。
• 只有经过管理员明确审批的操作方可获得临时网络租约。

诊断与审计

• 诊断数据严格遵循最小化与脱敏原则，避免将敏感业务数据写入诊断日志。
• 高风险运维操作遵循首次明确确认、同一授权窗口内避免重复打扰、环境参数变动重新确认的安全原则。