没有人同时看到
「你是谁」和「你发了什么」

一次普通请求，泄露了什么

小美打开 Flo 想查自己的经期记录。如果手机直接连服务器，服务器日志里会静静记下这一串—— 注意，哪怕她没登录，这些信息也足以把她「认出来」：

# 服务器看到的（普通 HTTPS）
ipAddress: 192.0.2.33                      # 你在哪
ASN: 7922
tlsCipher: AEAD-CHACHA20-POLY1305-SHA256    # 你手机的指纹，可能唯一
tlsVersion: TLSv1.3
Country / Region / City: US / California / Campbell   # 精确到城市
body: "查询我这个月的周期记录"              # 你查了什么

问题不只是「服务器知道了你查经期」。而是：同样的 IP + 同样的设备指纹，会让服务器把几十次请求 串成同一个人的行为轨迹——你什么时候查、查了几次、有没有变化，全都能对上号。 就算不登录，也一样能被追踪。

OHTTP 的两跳：Relay 与 Gateway

OHTTP（Oblivious HTTP，IETF 标准 RFC 9458）的思路很干脆：把一次请求拆成两跳， 让身份和内容分别落在两个不同的人手里。

• Relay（中继）：看到客户端身份（IP、TLS 指纹），但只看到一坨密文，盲转发。
• Gateway（网关）：负责解密请求、加密响应，看到明文内容，但看不到客户端是谁。

请求体用 HPKE（混合公钥加密）封装，只有客户端和应用服务器能解开；Relay 拿到的永远只是噪声。 于是形成「双盲」：Relay 只有身份，Gateway 和应用服务器只有内容，没有一方同时掌握两者。

三个场景，一次说清

这也是这次发布的核心：过去，服务器已经跑在 Cloudflare 上的客户，没法用 Cloudflare 的 Relay—— 因为那样 Cloudflare 会同时看到元数据和明文。现在客户可以按架构二选一，既不破坏双盲，也不用自建网关。

现实中已经在跑的例子

• Flo Health 匿名模式：让用户访问健康数据时，不让请求可关联到个人身份。
• Apple Private Cloud Compute：把 AI 推理请求与用户身份解绑。
• Apple LiveCallerID：来电识别很敏感——「你正在查一个陌生号码」本身就是信息。用 OHTTP 后， 查询动作与设备身份被拆开放进两跳里。这正是文章强调「接第三方 OHTTP 请求该选 Gateway」的场景。

Cloudflare 的五个工程决策

怎么接入

• 作为付费插件加到你的 zone，几点击启用；端点固定在 https://your-zone.com/.well-known/ohttp-gateway。
• 容量自动伸缩，普通 HTTP 流量照常直达源站，不经过网关。
• 需要自己实现 OHTTP 客户端（参考 ohttp.info 与 Cloudflare 的示例库），并自带一个 Relay——Relay 可以跑在任何基础设施上。
• 上线后用 Cloudflare 开源的 pvcli 客户端做测试与调试。

一个必踩的坑