一款具备完全可编程能力的安全 Web 网关

截至2026年10月15日，Cloudflare把自有代码直接接入 Gateway 和 DLP 的策略流程。Gateway 的新 Forward 动作可将命中的 HTTP 请求交给 Cloudflare Worker 处理；DLP 自定义验证函数已经可用；另一项 Gateway Custom Functions 预计在2026年底前推出。其重点不是增加一个外部 API，而是让代码在安全决策或流量转发过程中即时执行。

Gateway 提供两种 Worker 调用方式

• Forward：已进入公开测试，面向所有 Zero Trust 套餐。它在 HTTP 策略允许流量后，将首个匹配的 Forward 请求交给绑定的 Worker。Worker 可读取完整请求头和正文，修改请求、转发源站、修改响应，也可异步发送消息或写日志；TCP 连接、TLS、证书和 HTTP 版本协商仍由 Gateway 处理。
• Custom Function：在策略判断中同步调用 Worker，传入源 IP、目标、用户身份、设备状态及 HTTP 头等上下文，再返回字符串、数字或布尔值，作为 HTTP 或网络规则的选择器。

DLP 方面，自定义验证函数允许企业把自有数据源和校验逻辑写进 Worker，并在检测命中时用于验证，同时覆盖 Gateway、AI Gateway、Email Security 等既有 DLP 集成场景。官方将其定位为弥补通用正则、关键词和精确数据匹配的不足：这些方法可以发现模式，却难以判断当前数据是否确实与组织相关、是否代表正在发生的数据外泄或滥用。

适合落地的场景

• 解析 Authorization 请求头中的 JWT，提取角色或群组，驱动允许、阻止或请求头注入；
• 拦截敏感站点访问，要求用户填写理由，并用 KV、D1 或 Hyperdrive 保存会话与审计记录；
• 规则命中时实时通知 Slack、PagerDuty，或把文件送往沙箱分析、将副本写入 R2；
• 把内部风险评分、复杂用户与群组关系交给自定义函数计算，再以单一结果参与 Gateway 判断。

上线前需要考虑的边界

• Cloudflare称 Gateway 与 Worker 运行在同一网络，调度不增加网络跳转，实际性能影响主要来自 Worker 执行时间；具体表现仍取决于代码和负载。
• Custom Function 适合快速、有界、无状态的计算；出现异常、超时或返回值不符合约定时，需要为每个函数配置默认回退值。Forward 会介入实时请求转换，应重点测试超时、错误处理和最终用户体验。
• 转发到 Worker 的流量按标准 Worker 请求计费。官方称该功能在 Workers Free、Paid 和 Enterprise 之间没有功能差异，但 Free 套餐另有执行时长和每日请求量限制。Forward 当前为公开测试，Custom Functions 的具体上线时间仍以官方发布为准。

资料来源：A fully programmable secure web gateway（2026-10-15）。