公开空间
TL;DR：2019 年 7 月 2 日，Cloudflare 推送了一条 WAF（网页应用防火墙）新规则，其中的正则表达式发生灾难性回溯，全球处理 HTTP/HTTPS 的 CPU 几乎被打满，网站大面积返回 502，故障持续约 27 分钟。这不是黑客攻击，而是一次内部变更。Cloudflare 官方复盘强调，正则只是 11 个促成因素之一，并非唯一原因。 这是一起 2019 年的旧事故，不是最近的新闻，但它至今仍是“正则回溯”与“全球一次性发布”的经典教材。 一次“小改动
TL;DR：2017 年 2 月，Cloudflare 的 HTML 解析代码里有一处缓冲区越界读取，导致部分响应里夹带了其他网站用户的内存数据。Google、Bing 等搜索引擎还把其中一些内容缓存了下来。Cloudflare 称受影响的请求比例极低，约三百三十万分之一，并称没有发现被恶意利用的证据。客户的 SSL 私钥没有泄露，但 cookie、令牌等数据确实出现在了泄露内容里。 这是 2017 年的旧事，不是今天的新闻。 2017 年 2 月 17 日前后，Google
TL;DR：Cloudflare 9 月 15 日宣布推出一项新的「禁止 AI 训练」（Disallow AI Training）设置，让网站所有者在继续被搜索引擎收录的同时，阻止同一个爬虫把网站内容用于 AI 模型训练。苹果、谷歌和微软均已承诺在指定时间内遵守这一设置。它针对的是长期存在的一个两难：不少大型机构使用「混合用途爬虫」，同一个爬虫既服务搜索也服务训练，拒绝其中一项就等于把另一项也拒了。 Cloudflare 按行为对爬虫分类，一个爬虫可以同时具有多种行为。三种基