dpl/docs/maintenance/STATUS.md

接手验收状态

文档核对日期：2026-10-11。以下区分本会话检查结果与用户验收确认，不承诺服务器一直保持此状态。

2026-10-16 日本节点

node-jp02 已按既有 Git 运维版本独立部署并加入基础节点组 1，节点/机器 ID 2、AnyTLS、名称 🇯🇵 日本 JP - 01。完整隔离订阅经中转实际联网、严格 TLS、日本出口、DNS/路由、上下行上报均通过；证书续期演练及专用 deploy hook 通过。正式有效订阅同时包含美国、日本节点，测试账号禁用且订阅 403。未改价格/套餐限制；原 XrayR 与原中转保留。管理面板实际登录、节点/服务器列表切换、在线状态及已保存参数回读通过；未额外提交编辑表单默认值。参数、Git 版本、备份和边界见 节点接入记录。

按用户最新管理员约定，生产确认默认管理员不存在后新增并回读核实（账号 ID 17），原有两个管理员属性及密码未改。实际凭据独立登记在 CoDocs，浏览器登录通过；没有发送验证邮件。

同日按用户要求落实独立节点编号规则：日本第一节点展示名修正为 🇯🇵 日本 JP - 01，只改节点 ID 2 的名称；VPS node-jp02、部署 key、机器 ID、中转、端口、证书和权限组保留。私有旧值备份在生产 /root/codex-backups/dpl/node-name-20261016-jp01/。

中转后台已通过 CoDocs PRX-020 登录、保存新增规则并完成诊断；这补充下文反代部署阶段仅登录页的验收范围，不代表真实 WebSocket 或其他业务全部验收。

2026-10-16 中转后台反代

weiwei精确反代已按Git流程部署到白色机运维 f8aeb48，96项回环检查、Nginx检查/重载、HTTPS入口及6个JS/CSS资源200通过。浏览器“海外转发”登录表单显示正常。CoDocs PRX-020 是唯一映射登记；恢复点与细节见 反代专题。反代部署阶段未登录后台或变更节点流量链路；本轮节点任务的登录后验收范围见上节，真实WebSocket仍未验收。

2026-10-13/14 管理入口与白色机区域反代

指定的两网关管理源域名及白色机新旧区域映射、两个主站入口已部署。两机精确运维 Git 版本为 8ed9e195b84019f39c3ee9d9999bfd03efed5062，先提交/推送再 Git fetch/检出；最终受管配置哈希、Nginx 语法与重载通过。两管理入口以既有有效账号完成登录、设置页切换及退出，未保存业务配置；两主站浏览器品牌/登录页、API/资源验收通过。真实 Nginx 回环检查 93 个断言通过。恢复点、证书与日后更新方法见 管理反代专题，跨项目完整映射只在 CoDocs 反代表维护。

两个新 CF 区域保持橙云、Full (strict)，Origin CA 根域/一级泛域证书已安装；旧 com.de 和两新管理源域使用隔离公开 LE 证书，签发与续期 dry-run 通过。两证书 timer 和新橙云官方 IP 同步 timer active，CF 信任文件 22 段。新生成 vhost 只记录失败状态/主机/耗时，避免查询令牌进日志；原专用入口/订阅安全日志未批量改变。CF 令牌仅存白色机 root 私有文件，批准的管理验收临时凭据副本均已删除。

受保护资源：gemcook.net 仅新增两个 getway A，原 NS、MX、SPF、DKIM、DMARC 和邮件记录保留，未发测试邮件。四个原网关容器的启动时间/重启计数与本轮开始前相同；未改用户、套餐、订阅上游或业务代码。2026-10-14 实际 SSH 登录白色机成功，IPv4/IPv6 22 监听、SSH active，UFW inactive、INPUT ACCEPT；本轮没有改 SSH、防火墙或安全组。此结果不抹掉下文 2026-10-11 首次签发曾重启旧订阅网关的事故。

用户明确延期：gemcook.net 无根站 A/AAAA；diaodu.us 根域与 nasa 无匹配源站 HTTPS vhost/证书，严格代理仍为 502，本轮不新建、不关闭证书校验或借用 master/Gitea。旧 fu/dpl/Gitea/TTC 仅做根页 200 回归，master 根页既有 Laravel 404；不代表全部管理路由业务验收。业务用户登录、购买/支付、全站、多地区以及订阅/节点全链路未在本轮重测，既有本机节点连通跳过决定保留。

最新代码基线

• 邮件页签实现版本 13117587c86aa49dafad3467b04d90469f4de2ab；本地提交推送、生产 Git fast-forward 完成。
• 本地和线上后台实际登录成功；/dove 已验证渲染后台仪表盘。
• 邮件设置已拆为五页签；无旧悬浮按钮与弹窗。基本设置保留 SMTP，新增 Resend 与档位、收件与自动回复、用量汇报。当前档位三档。
• 两环境新增页签显示和切换已验收；Resend 页签保存原配置成功。每个扩展页签仅提交本页字段，密钥留空保留。
• 最新邮件隔离回归：57 测试、333 断言通过。

已有真实联调与限制

Resend 发信、常规 SMTP、配额回退、投递事件回调、master 一次性汇报都曾实测。来信保存、每日一次自动回复曾在本地实测并收到回复。生产 IMAP 连接与增量检查已验证。

用户于 2026-10-11 明确确认“日报送达和自动回复验收 ok”。据此，日报实际送达与自动回复已通过用户验收，不再列为待验收项。本次仅登记该确认，未重新发送邮件、触发日报或读取服务器记录。后续发生异常或变更相关逻辑时重新核验，并检查已处理记录避免重复回复/汇报。

接手注意

• 生产曾有与邮件无关的教程和文件模式修改，发布时保留了它们。下次仍必须重新核对，不能假定生产工作区干净。
• 后台资源子模块版本目前锁定 ef5f43da335092cbff8fdf0ad7ff9b4d92d7d0d7；已修复生产未初始化导致的空白问题。
• 后台邮件 UI 目前由扩展脚本接入已构建的第三方管理界面。升级后台子模块需回归挂载、页签、样式、保存、异步切换和原功能，不能认为 DOM 结构永久稳定。
• 本地 PHP-FPM 已重载以加载已安装 IMAP；其他环境需独立确认。
• 独立项目未列入本轮实现；不能把本轮完成扩展为其他聊天任务也完成。

支付配置同步（2026-10-11）

用户授权将本地两条 EPay 配置（支付宝、微信支付）同步到生产，随后要求按资料中新补充的空中支付信息对接线上。两个生产渠道已创建并启用，使用独立生成的渠道标识；通知域名为正式主页 https://dp-link.net。新增资料中的密钥与本地旧配置不同，已按新资料更新线上两个渠道的商户配置，并核对保存值一致。本地商户配置未随该后续要求修改。

生产后台支付列表已实际核对：支付宝、微信支付均显示且开启，通知地址使用正式域名。本次仅修改生产配置数据，未修改支付代码，未创建订单或付款；真实支付和支付回调仍未验收。两次写入前均保存了受保护的加密备份，传输临时私密文件已清除；文档和 Git 不包含商户密钥。

空中支付对接检查与代码修正（2026-10-11）

已实际登录空中支付商户后台，确认账号状态正常、MD5+RSA 兼容模式已启用，提供的新密钥与商户后台一致。已有商户设置未更改；尝试补充空白网站域名时，页面以其他资料未完善拒绝保存，重新读取确认原字段均未改变。接口文档通过每笔请求的 notify_url、return_url 传递回调，不在商户页面单独配置回调地址。

用户授权继续后，已补齐 EPay 回调成功状态、金额（含手续费）、商户及渠道归属校验，并按官方 V1 规则生成签名。隔离测试 5 项、20 个断言通过，覆盖正常/重复回调、错误金额/状态/商户/渠道、缺失/错误签名、取消订单和冲突交易号。语法检查通过。修正已提交推送并通过 Git fast-forward 部署至生产版本 60457487726b95dd7811eea16a625b01cf5c9d69；发布前备份了旧插件和生产既有差异，发布后插件哈希、PHP-FPM 与 Horizon 状态已核对。生产调用空中支付商户查询 API 返回 HTTP 200、业务成功且商户正常。尚未进行真实付款或真实成功回调验收。用户随后要求仅线上联调，本地支付配置保持不动。服务商支付测试页面目前仅展示支付宝按钮；微信通道可用性尚未确认，不能把网站启用微信配置视为通道验收完成。

不付款验收（2026-10-11）

用户明确要求以不做真实支付的方式验收。新增真实控制器与 PaymentService/EPay 插件调用链的隔离测试，使用 SQLite 内存数据库、虚构商户及订单；拦截订单开通任务、禁止外部 HTTP 请求，不操作正式订单。与插件单元测试合计 8 项、53 个断言通过。成功回调返回 success、记录回调号并只派发一次开通任务；签名正确但状态、金额、商户、支付类型或订单不匹配，以及取消订单均不会开通。

本轮验收目标是代码逻辑及接口可达性，不包含真实收款、服务商实际成功回调和正式套餐开通；微信通道仍未得到真实验证。线上隔离检查已完成：生产 PHP 环境以虚构内存订单执行 13 项插件检查全部通过，正式订单写入次数为 0；通过用户指定的远端访问域名请求公网无签名回调，返回 HTTP 422，确认拒绝。生产未安装 PHPUnit 和 SQLite PDO，因此未安装额外依赖，完整控制器内存数据库测试在开发测试环境执行。测试与文档已通过 Git 更新生产至 7a123f8e970c5c404084cd5867d2343824b3f13f。不付款验收按该范围通过；不宣称真实收款、实际服务商成功回调、正式套餐开通或微信通道已通过。

每次维护更新本文件

记录任务、修改文件、测试、提交、是否推送/部署、真实验收结果、尚未完成项与敏感边界。禁止写密码、令牌、原始用户邮件或未经核实的完成结论。

Telegram 工单实现（2026-10-11）

沿用原有 Telegram 插件与机器人接口，未对接 master。新增工单推送与消息关联、管理员私聊绑定及权限校验、更新编号去重、未知发送结果不自动重试、429 延迟重试和现有邮件通知复用。新增设置直接位于 Telegram 设置页面，无悬浮入口。

本地新迁移执行成功；工单与既有邮件回归合计 68 项测试、375 个断言通过，PHP 与 JavaScript 语法检查通过。浏览器验证新增区域显示、保存、刷新持久化以及切换邮件设置后返回恢复；测试开关已恢复推送开启、回复关闭。详细操作见 TELEGRAM_TICKETS.md。

用户已在线上保存机器人令牌；只读检查确认令牌配置存在，官方 getWebhookInfo 成功，但机器人开关仍关闭、回调地址为空、绑定管理员为零。本节记录时新代码尚未部署，真实工单推送、Telegram 回复和邮件通知闭环尚未验收。

Telegram 工单 Git 上线

用户明确批准上线后，实现已提交推送并在生产 fast-forward 至 6c9422d05566e40c3dfa577dae0a57f7afa9f195。发布前数据库完整转储、配置、原提交及生产既有差异已备份到受保护的 /root/codex-backups/dpl/telegram-tickets-20261011；两张新表迁移成功。发布时私密备份用的 umask 导致 Git 新文件不可供运行用户读取，已只修正受影响的非私密代码文件与父目录权限；备份仍保持私密。视图缓存清理、PHP-FPM 重载和 Horizon 重启完成，站点 HTTP 200，两个服务 active，恢复原有 cron。生产既有教程和存储目录修改保留。

线上实际登录后台，新增工单区域显示并保存成功。机器人令牌已配置，但当前机器人未启用、回调为空、管理员未绑定；未点击连接按钮，未发送真实 Telegram 工单或邮件。下一步由管理员在页面连接机器人并通过一次性命令私聊完成身份绑定，再开启回复并做真实闭环验收。代码上线完成不表示真实工单链路已验收。

管理员邮箱汇报核查

检查当前 app 与 plugins-core 发信入口：工单创建/用户追加内容推送 Telegram，管理员回复的邮件收件人为工单提交用户；收款与节点离线通知也通过 Telegram；用量日报由 master 发送 Telegram。未发现专门向管理员邮箱发送上述汇报的代码，因此没有需要移除的管理员邮件汇报实现。本次不新增全局邮箱封锁，不删除验证码、登录邮件、人工群发或正常用户通知；管理员汇报渠道约束已写入 BUSINESS_RULES.md。该核查不是新的真实工单验收。

用户随后明确关闭管理员邮箱汇报应通过开关保留实现，不能删除代码。已更新业务约束；当前尚未找到此类实际邮件入口，本轮没有删代码，也没有添加没有实际对象的开关。若后续增加该类入口，须提供独立默认关闭的开关。线上机器人现已启用，官方回调地址已注册，管理员绑定数仍为零；真实工单链路尚未验收。

Telegram 真实回复排查

管理员完成绑定并开启回复后，已通过正式队列向管理员私聊发送一条隔离测试工单通知。用户确认收到并已使用回复功能发送文字，但现场核对仍未发现管理员回复、关联更新记录或 ticket_reply 邮件。绑定、通知映射、回复权限和官方回调 HTTP 200 均已核对，不能据此宣布真实闭环通过。

补充真实控制器 → 原插件 → 工单与邮件队列的隔离回归，回复按引用消息编号识别而不依赖引用原文；为已绑定管理员增加一小时自动过期、无正文的路由诊断缓存。工单与邮件测试合计 70 项、383 个断言通过，PHP 语法检查通过。修正已提交推送并通过 Git fast-forward 发布至 5b643135e1d197b10819f71a3e501907ffc2c8bf；发布前已备份旧代码及既有差异，PHP-FPM 已重载，PHP-FPM/Horizon 均 active。发布后再次核对测试工单仍无管理员回复或邮件，短期诊断尚无新的管理员消息；真实回复验收仍未通过。

保留原有回复分类

用户表示此前可能回复错了消息，并明确要求保留原来的“引用包含原文才进入工单处理”规则。已恢复该分类条件；消息编号关联、权限和去重校验不变，无正文的短期诊断保留。此调整不代表先前故障已定位或真实闭环已通过；仍需对原始通知发送回复完成验收。

恢复版本 8ccc38908b 已提交推送并通过 Git fast-forward 发布，受影响控制器与生产既有差异已备份，PHP-FPM 重载后与 Horizon 均 active；工单与邮件回归合计 71 项、385 个断言通过。真实工单回复与邮件通知仍待验收。

Telegram 工单真实闭环验收通过

用户对原始工单通知使用 Telegram 引用回复后，生产短期诊断确认收到原生回复且命中工单关联。测试工单新增一条管理员回复，reply_status 更新为已回复，关联更新处理记录一条。ticket_reply 邮件通过正式队列走 Resend 提交，并在用户授权的 Proton 测试别名收件箱实际观察到“工单得到了回复”通知，收件人为本次独立测试用户。网站工单推送 → 管理员引用回复 → 写回网站 → 用户邮件到达的真实闭环已通过；保留用户要求的原有引用 text 分类，不再将此前回复错误归因于已证实的代码故障。

重复更新去重、权限拒绝及无有效邮箱等边界由 71 项工单与邮件隔离回归（385 个断言）覆盖，未对真实 Telegram 回调执行人工重放。文档不保留管理员原始回复或机器人凭据。测试用户无套餐权限且已禁用，测试工单保留用于审计，未删除正式数据。

2026-10-11 本地套餐说明调整

购买套餐和结算摘要取消强制插入设备行，只渲染套餐 content。说明可显式使用 {{display_device_limit}}，读取虚拟展示值并保留既有实际限制兜底；不会修改实际连接限制。本地四个套餐说明已备份并改为流量、基础月付时长30天、展示设备数三行；流量保留各套餐原值，价格和可购买周期不变。热更新允许 dpl.loc 加载本机 Vite，仍需本地启动标记及监听服务；未部署线上。

本地浏览器已核验四张套餐卡片，设备行仅出现一次且变量正确替换为6、18、200、200；Vue TypeScript检查、PHP语法与两个仓库的diff检查通过。截图在 codex/output/plan-description-20261011/preview.png。未提交、未推送、未上线。

2026-10-11 套餐说明去掉时长并准备上线

最新要求覆盖上一节三行说明：本地四个套餐已去掉套餐时长行，仅保留套餐流量和显式引用虚拟展示设备数的说明。线上只读核对同名同ID套餐及流量/展示设备数一致；准备按两个独立仓库的 Git 版本发布，并仅同步这四个套餐的 content。价格、周期、实际限制不修改。发布与线上页面验收尚未完成。

本轮发布与验收完成：前台提交 5e8efa3a11d9301384f934d6fc10dfe0ae8774e2 已推送仓库并在线上通过 Git fast-forward 更新；服务器已有 HTTPS 前台拉取未认证，因此使用该已推送提交的增量 Git bundle 执行 fetch/merge，未传输账号凭据、未打包覆盖源代码。生产 Vue TypeScript检查和 Vite发布构建通过，四个套餐只更新 content。主题、原说明和已有差异备份于 /root/codex-backups/dpl/plan-description-20261011-140006。浏览器在指定线上访问域名核验四个套餐只显示流量及展示设备数（6、18、200、200），无时长或额外设备行；PHP-FPM及Horizon均active。截图 codex/output/plan-description-20261011/online-preview.png。价格、可购周期、实际设备限制及已有教程修改未改变。

2026-10-11 首节点、独立订阅网关与 Cloudflare IP 同步

用户确认 AnyTLS、节点名“🇺🇸 美国 US - 01”。node-us01 新增 dpl-node / Xboard-Node v1.13（sing-box 内核），独立 TCP 24443；中转只新增 dpl-us01-anytls：haiwi.lshan.eu.org:47101 → 64.44.115.18:24443。原 XrayR TCP 443、PID 和启动时间保持原值，原 46101 → 443 规则及其他中转规则保留。

因既有 SubSieve 只有单上游，gateway-01 部署第二套独立容器/卷/网络及回环端口，不改旧上游。Namecheap NS 已委托 Cloudflare，c2.deeplink-subscribe.com 橙云指向新网关，us01 域名 DNS only。新实例管理端口仅回环监听，订阅日志不记录查询令牌。真实 IP 已按官方 Cloudflare 网段清洗并实际比对；用户追加授权的原机场两个订阅 vhost 也已接入同一官方 IP 自动同步。每日下载、验证、原子替换及错误回退代码上线，当前 22 网段同步成功、定时器启用；没有主动告警，尚未执行故障注入。

新网关证书续期迁至独立 Certbot 目录和定时器，禁用原目录钩子。两张新证书有效期至 2027-01-09，节点与网关续期 dry-run 通过，网关专用 deploy hook 实际检查/重载通过。需记录首次签发的实际事件：未充分审计原全局 Certbot hook，导致原 subscribe-gateway 于 08:14:19 UTC 重启一次；已告知用户并完成后续隔离。原管理容器未重启，此后新钩子/IP 同步未再次重启原容器，最终旧路由 HTTP 200、新旧容器运行及 Nginx 语法通过；不能宣称整个任务原网关从未重启或所有用户无感。

生产默认 sing-box 模板迁移现代 DNS/路由语法，实际启动发现并修正空 direct DNS detour；只在原模板/明确哈希匹配并受保护备份后更新 dpl 默认模板，不改其他机场。官方 sing-box 1.14.3 完整实际订阅通过检查及实际启动（仅替换为临时 SOCKS 入站），保留 DNS/分流/出站，经中转获得美国出口 64.44.115.18、严格 TLS、HTTPS TLSv1.3，面板记录上下行计费。正常订阅 HTTP 200、CF DYNAMIC、private/no-store。GUI/手机、系统 TUN、多地区、超额及多设备并发未执行验收。

用户具体授权后，节点开放至基础节点组，个人/家庭/业务/业务B 套餐 ID 1/6/7/8 及其中现有 1 位无组用户完成关联。界面核验在线节点、名称和组名，订阅 URL 字段显示 c2；价格、周期、流量及设备限制不改。临时用户已禁用，其订阅 403、实际下发用户集合排除该用户，正式用户可见首节点；本机临时客户端停止。

核心根仓库版本 3b72c3e3c182313ebdae9f81a6e83712775942a3，独立运维仓库 b05c3215505c6ea70042aed0b102c682406528be，均先提交/推送再按 Git 部署，生产原教程与文件模式差异保留。精确数据/配置备份在服务器受保护目录，不写凭据入 Git。重复接入参数、执行步骤及回退见 NODE_ONBOARDING.md；验收截图在 codex/output/node-us01-planning/。

尚未完成：Cloudflare Full (strict) 提交后的账户状态复核、显式订阅缓存绕过规则。dash.cloudflare.com 被浏览器保存拒绝持续拦截；用户多次修改设置后实际重试仍失败，需要清除覆盖规则或重新启动应用后再核对。公网 HTTPS 正常和 no-store 不能代替这些账户检查，整体任务尚未全部完成。

最终分段补查：本机与网关解析入口均为 199.30.91.63，本机直连落地 24443 严格 TLSv1.3 成功，但本机至入口 47101 仍在 TLS 握手阶段 EOF。已查看新增规则表单，仅有隧道 17517 且无备用监听 IP，取消未保存；没有修改原规则或创建诊断规则。网关环境的完整实际订阅已测通，不代表本机或所有用户网络已通过。用户确认本机开启代理，随后明确要求跳过本地连通测试；已停止该排查，标记为跳过而非通过，不再作为本次交付阻塞项。Cloudflare 两项仍待完成，准确配置与复核步骤已写入 NODE_ONBOARDING.md。

2026-10-11 Cloudflare 遗漏项复核

用户要求核对此前权限阻塞是否导致必要操作遗漏。本聊天通过正常浏览器成功访问并直接确认 Full (strict)、c2 唯一活动的缓存绕过规则（顺序 1，名称 Bypass cache - c2.deeplink-subscribe.com）、c2 橙云及 us01 DNS only。规则总览没有配置规则、源站规则或标头转换规则，旧式页面规则为零。缓存规则由用户另行创建的配置聊天先前部署，本轮没有重复创建或修改线上设置。

上文的 Cloudflare 两项“仍受权限阻塞、未完成”是历史状态，现已由上述现场核验替代；NODE_ONBOARDING 已同步。本聊天访问成功不表示源聊天旧拒绝记录已清除。尚未完成：显式规则部署后使用有效订阅重新检查 private/no-store、无 HIT 或 Age；先前响应记录不能代替本次验收。本轮没有读取正式用户订阅令牌、重启服务或恢复临时用户。服务器真实 IP、官方网段同步及证书续期沿用历史验收，本轮未重新核验。用户指定的本地连通测试仍为跳过；手机/TUN、多地区、超额、多设备和 IP 同步故障注入均未执行。

2026-10-11 从原始目标重建 Cloudflare 调优检查

用户指出交接清单本身可能遗漏，并强调 Cloudflare 配置和调优。本轮独立重建检查项，读区域 DNS、边缘证书、SSL/TLS、规则、网络、安全、协议/内容优化及 Worker 页面；经白色跳板只读复核网关、节点与面板。正式有效订阅（令牌仅进程内存使用）连续标准路径请求、短路径及 H2/gzip 请求通过：200、有效 JSON、DYNAMIC、private/no-store，无 Age/HIT/cf-mitigated。此前“规则部署后有效响应仍未验收”的状态已由本轮结果替代。

新增发现：BIC 仍全域开启且无 c2 主机例外，最低边缘 TLS 仍为 1.0。二者是可评估的兼容性/安全调优，尚未实施；不能从现状认定它们由权限阻塞造成或是旧地区失败根因。HTTP/2、HTTP/3、TLS 1.3、IPv6 均已开；Pseudo IPv4 与移除访问者 IP 托管转换关闭；Bot Fight、Under Attack 关闭，无 Worker 路由或相关改写规则。官方 IP 信任文件当前 22 段与官方下载一致，定时器 active，但频率为每日、无主动失败告警、未故障注入。完整表格与补充调优方案见 CLOUD_FLARE_AUDIT.md，后续接入清单已扩展。

本轮没有修改 Cloudflare/线上数据库/服务，没有重启或产生正式用户代理流量。文档本地修改尚未提交/推送/发布。原网关历史签发期间一次重启的记录继续保留；当前运行和隔离复核不能覆盖该历史事实。GUI/TUN、多地区、IPv6 端到端和 H3 等未执行，用户指定本地连通测试继续跳过。

2026-10-11 两机场 Cloudflare 调优与订阅域名轮换

用户追加授权原机场一起调优，并在获知关闭 BIC 会减少一层请求头筛查后明确批准只针对两机场订阅路径操作。此前自动审批拒绝具体安全调整；获得具体批准后正常浏览器部署成功。上节“BIC 未实施”是历史阶段，现已由如下结果替代：

• dpl 新增 Subscription client compatibility - c2，精确 c2 主机的标准 API 与 /s/ 路径 BIC=Off，活动；其余路径、区域默认及源站过滤保留，区域 Full (strict) 不变。
• 原机场新增 Strict origin TLS - fu101.gembox-sub.com，仅该主机 SSL=Strict，活动、顺序 1；原区域 Full/自动模式不改。新增 Subscription client compatibility - fu101，仅原生 /sub/ 与兼容订阅 API 的 BIC=Off，活动、顺序 2。管理入口保留默认检查。
• 用户要求将来更换订阅前缀不再修改缓存：两个区域分别将唯一活动 Cache Rule 改为 Bypass cache - deeplink-subscribe.com (all hosts) 和 Bypass cache - gembox-sub.com (all hosts)，所有传入请求（true）、绕过缓存、顺序 1。没有新增重复规则或修改浏览器 TTL。旧规则值已记录供精确回退。

最终保存后再次用正式有效订阅复验：dpl 标准路径连续两次与短路径均 200、有效 sing-box JSON、严格 AnyTLS 参数、private/no-store、DYNAMIC；原机场 /sub/ 的 sing-box JSON、Clash YAML 均 200、正确格式、no-store、DYNAMIC；均无 Age/HIT/cf-mitigated，gzip JSON 解码通过。额外空 UA 请求仍为 403，现场原网关 map 明确拒绝空 UA，本次未削弱该过滤。不是所有 UA 或多地区验收。

新旧四个网关/管理容器仍运行，ID/启动时间与本轮变更前一致，宿主 Nginx 语法通过；没有改原上游、卷、端口、服务代码或用户配置，没有重启或产生正式节点代理流量。原机场 DNS 仍为 fu101 A=65.99.193.129、已代理；IPv6 开、Pseudo IPv4 关，区域默认 BIC 开、Bot Fight/Precursor 关；H2/H3/TLS1.3 页面已启用，未证明实际 h2 回源或 H3 协商。

同一区域换子域名前缀会自动覆盖缓存，仍需同步 DNS、vhost、证书/续期、网关 Host、面板订阅 URL、精确主机 BIC/TLS 规则并有效订阅复验；跨新区域不自动覆盖。已同步 NODE_ONBOARDING 与 CLOUD_FLARE_AUDIT 的已实施状态、轮换步骤和回退方式。最低 TLS 收紧、更频繁 IP 同步和告警等可选项未实施；本地连通按用户要求继续跳过。截图与缓存原值记录位于 codex/output/cloudflare-audit-20261011/；文档 Git 状态以本轮交付记录为准。