HTTP/2 · XB 现场笔记

HTTP3 走 UDP，HTTP2 仍走 TCP 兜底

Sat, 12 Feb 2028 00:00:00 +0000

HTTP/3 运行在 QUIC 与 UDP 之上，常用端口是 443，但协议不要求只能使用这个端口。HTTP/2 各流共用 TCP 的有序字节流，缺失片段可能阻塞无关请求的数据交付。QUIC 按流提供有序交付，某条流丢失数据不必阻塞另一条流；连接级拥塞控制与 HTTP 层依赖仍可能影响多个流，不能说每条流都有完全独立的拥塞控制或丢包恢复状态。

仅启用服务器模块还不够。客户端需要 HTTP/3 支持、可代表该源的端点、可验证的 TLS 身份，以及实际可用的 UDP 路径。发现机制和回退策略决定何时尝试它；不能把此前必须成功访问一次 TCP 服务当成所有客户端都要满足的协议前提。

两种传输，一个端口号

UDP:443 与 TCP:443 使用不同套接字，只是端口数字相同；并不是一个套接字同时监听两种传输。nginx 的 server 块可以并列配置 listen 443 quic reuseport; 与 listen 443 ssl; http2 on;。受支持系统上的 reuseport 用于每个 worker 的监听套接字，不是修复重复 server 声明或其他进程占用端口的万能选项。应先核对完整配置、实际错误与套接字归属，再判断是否需要修改。

QUIC 将 TLS 1.3 与传输建立结合，能够减少建立连接的往返次数。恢复会话时可能发送早期应用数据，但握手并未消失，服务器也不一定接受 0-RTT。Retry、丢包与验证都可能增加等待。连接 ID 可以在端点与路由设施支持时帮助连接跨地址变化延续；它本身不承诺所有漫游都成功，也不会自动修复 UDP 不通的路径。

Alt-Svc 是客户端得知的方式

源站可以通过已有 HTTP 连接发布 Alt-Svc: h3=":443"; ma=86400，表示协议 h3、同一主机的 443 端口，以及二十四小时的新鲜期。该连接不必是 HTTP/2；已知目标支持 HTTP/3 的客户端也可以直接尝试，不需要先访问一次 TCP 服务。客户端可以使用仍新鲜的替代服务，不必等待下次页面访问。收到通告只证明服务器发出了信息，不能证明该客户端的 UDP 路径真正可用。

新鲜期允许复用通告，不会强迫客户端每次新建连接都重复一个已经失败的 QUIC 尝试。客户端可以回退，也可以使用自己的失败处理策略。QUIC 探测定时器取决于往返时间估计及退避，而何时并行竞速、放弃尝试属于实现选择。早先所写的十五秒、每天三百秒和零点一秒是没有保留可运行模型或原始轨迹的示意假设，既不是实测，也不是协议规定的回退时间，不能据此估算真实用户损失。

0-RTT 与连接迁移是两处锋利的边缘

0-RTT 允许回访客户端在新握手完成前发送应用数据。早期数据存在重放风险，因此应用必须明确哪些处理能安全重放，并拒绝不安全的早期操作；持有旧票据也不保证服务器接受。未经保护的创建订单请求可能重复产生副作用，传输加密并不提供恰好一次执行保证。判断能否使用早期数据，应依据业务语义与服务端保护，不能只看请求是否已经加密。

客户端地址改变后，迁移可以保留 QUIC 连接，但受到对端策略与路径验证约束。按五元组选择后端的均衡器可能把报文发给没有该连接加密状态的另一台后端，造成中断或重置，而不是让它自然接管原连接。早先从七号落到四号的示例没有保留哈希模型或原始轨迹，不能当成测得的落点，也不能据此断言每次地址变化一定选中不同后端。

坏掉的样子

缓存通告与 UDP 阻断可能拖慢连接建立，但不能保证整整一天每次访问都慢，也不能仅凭 HTTP/3 失败断定中间盒故障。客户端缺少支持、TLS 错误、端点配置或服务器不可用，都可能导致失败。应对照客户端错误、分协议延迟与服务端观察；访问日志里没有请求并不足以定位丢包。保留可工作的 TCP 备用路径，并测量实际客户端的回退策略，才能判断等待发生在哪里。

地址变化还可能暴露错误的路由亲和性。应保持报文到达拥有该连接状态的 QUIC 端点；仅靠应用 Cookie，无法在 QUIC 终止之前为加密报文选择后端。需要显式验证部署中的连接 ID 处理与路径变化，也不能假定连接 ID 永远不变。此类问题不限于移动客户端；传输恢复成功之后，应用会话是否连续仍是另一层问题，不能把两种状态混为一个保证。

可直接发现 h3；h2 回退取决于双方支持及客户端策略。不保证固定回退耗时或迁移成功。

快速验证

使用 Bash、Python 3，以及编译时支持 HTTP/2 和 HTTP/3 的 curl 7.88 或更新版本。把 URL 设置为获准直接访问、GET 预期返回 200 的完整 HTTPS 地址，包含路径；这些请求不使用重定向或代理。目标应是允许重复读取的诊断资源，而不是有副作用的操作：

(
set -euo pipefail
: "${URL:?Set one authorized HTTPS URL with an expected 200 response}"
umask 077
tmp=$(mktemp -d)
trap 'rm -rf -- "$tmp"' EXIT
probe() {
 local label=$1 mode=$2 expected=$3 rc check_rc
 if curl --disable --silent --show-error --fail --globoff \
 --noproxy '*' --proto '=https' --connect-timeout 10 --max-time 30 \
 "$mode" --output /dev/null --dump-header "$tmp/$label.headers" \
 --write-out '%{json}\n' --url "$URL" > "$tmp/$label.json"; then
 rc=0
 else
 rc=$?
 printf '%s: curl failed (exit %s)\n' "$label" "$rc" >&2
 fi
 if python3 - "$tmp/$label.json" "$label" "$expected" "$URL" "$rc" <<'PY'
import json, math, pathlib, sys
path, label, expected, url, curl_exit = sys.argv[1:]
print(label, "curl_exit", curl_exit)
d, headers = None, None
try:
 d = json.loads(pathlib.Path(path).read_text())
 if not isinstance(d, dict):
 raise ValueError("expected a JSON object")
except (OSError, UnicodeError, ValueError) as error:
 d = None
 print(label, "metadata unavailable:", str(error), file=sys.stderr)
keys = ("url_effective", "remote_ip", "remote_port", "http_version", "http_code",
 "ssl_verify_result", "time_appconnect", "time_starttransfer", "time_total")
if d is not None:
 print(label, json.dumps({k: d[k] for k in keys + ("exitcode", "errormsg") if k in d}))
 missing = [k for k in keys if k not in d]
 if missing:
 print(label, "metadata fields unavailable:", ", ".join(missing), file=sys.stderr)
try:
 headers = pathlib.Path(path).with_suffix(".headers").read_text(encoding="iso-8859-1")
 print(label, "Alt-Svc header observations:",
 [line for line in headers.splitlines() if line.lower().startswith("alt-svc:")])
except OSError as error:
 print(label, "header observations unavailable:", str(error), file=sys.stderr)
if int(curl_exit) != 0:
 # Observations from a failed transfer are not successful validation.
 raise SystemExit(0)
try:
 ok = (d is not None and headers is not None and d["http_code"] == 200 and
 d["url_effective"] == url and d["http_version"] in ("1.1", "2", "3") and
 d["remote_ip"] and d["remote_port"] > 0 and d["ssl_verify_result"] == 0 and
 (expected == "any" or d["http_version"] == expected) and
 all(math.isfinite(d[k]) and d[k] >= 0 for k in
 ("time_appconnect", "time_starttransfer", "time_total")))
except (KeyError, TypeError, ValueError):
 ok = False
if not ok:
 raise SystemExit(label + ": unavailable or unexpected endpoint, protocol, status or timing")
PY
 then
 check_rc=0
 else
 check_rc=$?
 fi
 if [ "$rc" -ne 0 ]; then
 return "$rc"
 fi
 return "$check_rc"
}
failed=0
probe h2 --http2 2 || failed=1
probe h3-only --http3-only 3 || failed=1
probe fallback-enabled --http3 any || failed=1
exit "$failed"
)

每个成功探测都检查状态码、URL 与实际协议。失败传输仍输出已有的协议、状态、对端、计时与响应头观察，并保留原始 curl 退出码和错误输出；缺失或无法解析的元数据会明确标为不可用。失败观察不算验证成功，即使 h3-only 失败，也继续执行后续探测，最终汇总仍为非零。–http3-only 禁用回退，–http3 则允许与较旧协议竞速。结果为 2 或 1.1 只记录选择了 TCP，不代表完成可控 UDP 阻断实验；1.1 也不能证明 h2。time_appconnect 从开始计到握手完成，time_starttransfer 从开始计到收到首字节；两者不是同一指标。Alt-Svc 输出只是原始响应头观察，可能包含中间响应，不证明通告有效或路径可达。

在对应的获准服务器上，单独检查配置和本地套接字；不能把客户端的远端 IP 自动当成这台主机的身份：

(
set -euo pipefail
umask 077
tmp=$(mktemp -d)
trap 'rm -rf -- "$tmp"' EXIT
if nginx -T > "$tmp/nginx.txt" 2> "$tmp/nginx.err"; then
 cat "$tmp/nginx.err" >&2
else
 rc=$?
 cat "$tmp/nginx.err" >&2
 exit "$rc"
fi
if grep -nE 'listen .*quic|http2|http3|Alt-Svc' "$tmp/nginx.txt"; then
 :
else
 rc=$?
 printf 'No matching directives, or grep failed (exit %s)\n' "$rc" >&2
 exit "$rc"
fi
ss -H -lunp 'sport = :443' > "$tmp/udp.txt"
cat "$tmp/udp.txt"
if [ ! -s "$tmp/udp.txt" ]; then
 printf 'No local UDP:443 listener observed\n' >&2
 exit 1
fi
)

错误仍然可见。配置匹配可能包括注释或未加载的设置，套接字进程信息也可能受权限限制。没有进一步对应运行进程、部署配置与客户端端点之前，两者都不证明公网服务身份或可达性。配置输出可能敏感，审阅时应妥善保管。本轮只有 shell 语法与假命令／文件控制，没有执行真实 TLS、HTTP、NGINX 或回退验证，技术与运行检查仍暂缓。

来源

RFC 9114 HTTP/3，HTTP/3 在 QUIC 之上的语义，已核验 2026-09-16。
RFC 7838 HTTP 替代服务，Alt-Svc 头及其新鲜期，已核验 2026-09-16。
ngx_http_v3 模块，nginx 的 QUIC 与 HTTP/3 指令，已核验 2026-09-16。
RFC 9000 QUIC，按流交付、连接 ID、迁移与 0-RTT，已核验 2026-09-16。
nginx core listen directive，独立监听及每个 worker 的 reuseport 语义，已核验 2026-10-18。
curl manual，HTTP/3-only 模式、回退选择、错误与握手计时，已核验 2026-10-18。
RFC 9002 QUIC recovery，依赖 RTT 的探测定时器与指数退避，已核验 2026-10-18。

HTTP/2 多路复用消除排队

Sat, 16 Jan 2027 00:00:00 +0000

HTTP/2 通过多路复用解除 HTTP 响应的顺序约束，但不同流仍然共享 TCP 连接及其故障边界。取消就是一个值得单独验证的场景：终止某个请求，不一定需要破坏相邻请求或可复用连接。这是一项有明确作用范围的能力，不能扩写成所有流在任何条件下都互不影响。

取消一条 HTTP/2 请求后，应分别核验相邻正文与原连接复用。共享 TCP 约束依然存在；取消也不能撤销已经发生的业务操作。此图不增加运行证据。

流不是底层套接字

HTTP/2 在连接内部标识单条流。RFC 9113 定义的 RST_STREAM 用于终止某条流，既可以表达取消，也可以报告流错误；它并不是重置整个套接字的 TCP reset。只要连接本身仍然可用，实现就可以停止一次交换，同时让其他流继续推进，而不必为每次取消重新建立连接。

这与 HTTP/1.1 的持久连接并不矛盾，后者本来就允许一条连接承载多次交换。HTTP/2 新增的是交错传输与流级生命周期控制，而不是首次发明连接复用。TCP 的有序交付、拥塞控制、连接级 DATA 流控以及服务端资源仍然约束进度；即使一次请求取消没有影响其他流，连接故障也可能同时中断多个请求。

取消还不等于撤销已经完成的业务。服务器可能早已提交事务，或调用了另一个服务。客户端读取正文时得到取消错误，无法证明这些操作没有发生。因此，是否重试仍须依据业务语义、幂等保证或可查询的执行结果，不能仅凭网络层已经取消，就把再次提交认定为安全操作。

收到响应头不代表正文成功

成功状态码出现在正文之前。服务端可以先发送并刷新 HTTP 200，再长时间等待，或者在传输内容时失败。状态、正文完整性和业务结果应分别记录。Client.Do 返回了响应对象，只说明客户端已经拿到响应头，不能据此把整个响应标为读取成功，更不能省略后续读取错误的处理。

Go 的出站请求上下文控制取消；对于入站 HTTP/2 请求，一次取消可以让服务端对应请求的上下文结束，而不需要关闭整条连接。处理函数在等待或访问依赖时，应观察并传递该上下文。运行时不会自动撤销任意业务动作。Client.Timeout 还覆盖响应头到达之后的正文读取，不能把它理解成只约束握手或等候首字节。

坏掉的样子

如果几个请求共用一个父上下文，取消父上下文本来就会影响它们；关闭底层连接也比取消单个请求的范围更大。请求自己的时限应由请求自己的取消范围管理。不能对共享套接字设置整体期限后，又声称产生的超时只作用于一条 HTTP/2 流；排障时必须核对取消信号的真正拥有者。

遗弃正文可能保留资源或占用流控额度。适合完整消费的响应应读完，已经结束或取消的正文也必须关闭。未读数据是否妨碍相邻流，与库的缓冲和窗口更新策略有关。流数量上限、共享连接额度和后端容量仍然存在；一个小实验能成功取消，不代表高负载时也没有相互影响。

快速验证

保存为 cancel_probe.go，使用 Go 1.23 或更新版本运行 go run cancel_probe.go。本地服务使用经过验证的 TLS 1.3 协商 HTTP/2。两个处理函数先刷新 HTTP 200 响应头，再让正文等待。客户端随后只取消第一个请求；另一个响应保持打开，双方都使用同一条被编号的 TCP 连接。

package main

import (
 "context"
 "crypto/tls"
 "errors"
 "fmt"
 "io"
 "net"
 "net/http"
 "net/http/httptest"
 "net/http/httptrace"
 "runtime"
 "sync/atomic"
 "time"
)

type connectionKey struct{}

func must(err error) {
 if err != nil {
 panic(err)
 }
}

func check(ok bool, message string) {
 if !ok {
 panic(message)
 }
}

func main() {
 cancelObserved, releaseSurvivor, stop := make(chan struct{}), make(chan struct{}), make(chan struct{})
 var connections, handled atomic.Int64
 server := httptest.NewUnstartedServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 handled.Add(1)
 w.Header().Set("X-Connection-ID", fmt.Sprint(r.Context().Value(connectionKey{})))
 w.Header().Set("Content-Type", "text/plain")
 w.WriteHeader(http.StatusOK)
 w.(http.Flusher).Flush()
 switch r.URL.Path {
 case "/cancel":
 select {
 case <-r.Context().Done():
 close(cancelObserved)
 case <-stop:
 }
 case "/survive":
 select {
 case <-releaseSurvivor:
 fmt.Fprint(w, "survived")
 case <-r.Context().Done():
 case <-stop:
 }
 case "/after":
 fmt.Fprint(w, "ready")
 }
 }))
 server.Config.ConnContext = func(ctx context.Context, _ net.Conn) context.Context {
 return context.WithValue(ctx, connectionKey{}, connections.Add(1))
 }
 server.EnableHTTP2 = true
 server.TLS = &tls.Config{MinVersion: tls.VersionTLS13, MaxVersion: tls.VersionTLS13}
 server.StartTLS()
 defer server.Close()
 defer close(stop)
 config := server.Client().Transport.(*http.Transport).TLSClientConfig.Clone()
 check(!config.InsecureSkipVerify, "certificate verification must stay enabled")
 transport := &http.Transport{TLSClientConfig: config, ForceAttemptHTTP2: true, MaxConnsPerHost: 1}
 defer transport.CloseIdleConnections()
 client := &http.Client{Transport: transport, Timeout: 2 * time.Second}
 open := func(ctx context.Context, route string) *http.Response {
 request, err := http.NewRequestWithContext(ctx, http.MethodGet, server.URL+route, nil)
 must(err)
 response, err := client.Do(request)
 must(err)
 check(response.StatusCode == 200 && response.Proto == "HTTP/2.0", "HTTP/2 response required")
 check(response.Header.Get("X-Connection-ID") == "1", "streams must share the first TCP connection")
 check(response.TLS.Version == tls.VersionTLS13 && response.TLS.NegotiatedProtocol == "h2", "TLS 1.3 and h2 required")
 check(len(response.TLS.VerifiedChains) > 0, "verified server certificate required")
 return response
 }
 firstContext, cancel := context.WithCancel(context.Background())
 defer cancel()
 first := open(firstContext, "/cancel")
 survivor := open(context.Background(), "/survive")
 cancel()
 body, readError := io.ReadAll(first.Body)
 closeError := first.Body.Close()
 must(closeError)
 check(errors.Is(readError, context.Canceled) && len(body) == 0, "first stream must report cancellation")
 select {
 case <-cancelObserved:
 case <-time.After(2 * time.Second):
 panic("server did not observe stream cancellation")
 }
 close(releaseSurvivor)
 body, readError = io.ReadAll(survivor.Body)
 closeError = survivor.Body.Close()
 must(readError)
 must(closeError)
 check(string(body) == "survived", "sibling stream must complete")
 var reused atomic.Bool
 var handshakes atomic.Int64
 trace := &httptrace.ClientTrace{
 GotConn: func(info httptrace.GotConnInfo) { reused.Store(info.Reused) },
 TLSHandshakeStart: func() { handshakes.Add(1) },
 }
 after := open(httptrace.WithClientTrace(context.Background(), trace), "/after")
 body, readError = io.ReadAll(after.Body)
 closeError = after.Body.Close()
 must(readError)
 must(closeError)
 check(string(body) == "ready" && reused.Load() && handshakes.Load() == 0, "connection must remain reusable")
 check(connections.Load() == 1 && handled.Load() == 3, "three streams must use one TCP connection")
 fmt.Println("cancel: context canceled; server observes cancellation")
 fmt.Println("survive: body complete on connection 1")
 fmt.Println("after: connection 1 reused, no new TLS handshake")
 fmt.Println(runtime.Version())
}

第一个正文的读取必须返回能匹配 context.Canceled 的错误，且没有正文数据；服务端还必须独立观察到该请求上下文被取消。程序随后才释放相邻请求，让它完整返回 survived。这样，两份已经成功到达的响应头，对应不同的正文结果，同时并没有使用两条独立连接掩盖影响。

第三次请求必须在连接一上返回 ready。GotConn 记录复用，第三次请求的 TLSHandshakeStart 计数保持为零；服务端同时断言只接受一条 TCP 连接，却处理了三个请求。这些证据能够区分“原连接仍然可用”和“客户端悄悄换了一条连接才成功”，不能只根据最后一次请求成功就判定前者。

已核验的 macOS、Go 1.27.0 运行通过全部断言。每次请求限时两秒，等待服务端观察取消另设两秒上限；清理时释放等待中的处理函数。证书验证始终开启，不修改公共服务，也不向系统安装信任根。程序正常结束时，响应正文和本地连接资源均已关闭或回收。

这里检查的是 Go 提供的可观察行为，没有抓包、解码或断言某个具体 RST_STREAM 错误码。协议机制的解释来自 RFC 9113。实验也没有测试丢包、流控耗尽、整条连接失败、生产业务副作用或吞吐量。要提出更强的隔离性和安全重试结论，还需要分别设计相应实验，而不能从这次通过的断言直接外推。

来源

RFC 9113：HTTP/2，流终止、共享流控与 TCP 边界，已核验 2026-09-09。
Go net/http，请求取消、响应正文、连接复用与超时，已核验 2026-09-09。
Go crypto/tls，协议协商与经过验证的证书链，已核验 2026-09-09。

HTTP/2 · XB 现场笔记

HTTP3 走 UDP，HTTP2 仍走 TCP 兜底

两种传输，一个端口号

Alt-Svc 是客户端得知的方式

0-RTT 与连接迁移是两处锋利的边缘

坏掉的样子

快速验证

来源

HTTP/2 多路复用消除排队

流不是底层套接字

收到响应头不代表正文成功

坏掉的样子

快速验证

延伸阅读

来源