Cloudflare 为 Gateway 与 DLP 引入真正可编程：Forward 动作与自定义校验

Cloudflare 于 2026 年 10 月 15 日宣布，把边缘计算平台更深度接到 Cloudflare Gateway 与 DLP（数据丢失防护）：新增 Gateway 动作类型 Forward（公测），以及可在策略求值路径调用的 Custom Function（预计年内提供）；DLP 自定义校验函数即日起可用。上述能力面向所有 Zero Trust 套餐规划开放。[1]

传统安全 Web 网关多是「条件匹配 → Allow / Block / Isolate / Log」终端动作。Cloudflare 称客户常因此被迫自建 NGINX 池做 JWT 头注入、或搭 Logpush→SIEM→Slack 管道做实时告警，延迟与运维成本都高。其定义的「真可编程」是：在策略求值当下内联运行客户自写逻辑，而不仅是 API / Terraform / Webhook。[1]

Forward：匹配 HTTP 策略后，把请求交给绑定的 Worker 作中间件——可读改请求/响应，或异步写 R2、打 Slack、调 Webhook，同时放行流量。TLS 终止、证书与连接管理仍由 Gateway 处理，Worker 只承担变换逻辑。因 Gateway 与 Workers 同机部署，转发是本地调用，不额外绕网。[1]

Custom Function：在策略求值时调用 Worker，返回字符串/数字/布尔，并作为选择器出现在网络或 HTTP 规则条件中（类似 Source IP、内容分类）。示例包括解析 JWT 角色、复杂风险评分后返回单一值。函数失败时可配置回退；合约要求默认值。[1]

博文给出的场景包括：敏感站点访问前的自定义说明页与理由采集、动态 HTTP 头注入、文件送检或写入 R2、策略命中实时告警，以及 DLP 命中后用 Worker 向权威源核验凭据是否仍有效再决定是否计为匹配。流量按标准 Workers 请求计费；Free 档有执行时长与日请求上限。[1]

说明：功能可用性、计费与 Beta 边界以 Cloudflare 控制台与产品文档为准；文中示例代码来自官方博文演示，不构成安全配置建议。

来源

[1] A fully programmable secure web gateway，Cloudflare Blog / AJ Gerstenhaber、Abe Carryl，2026年10月15日。

#Cloudflare #Gateway #DLP #ZeroTrust #Workers