curl 8.23.0-rc1 开启加速发布前的代理回归测试窗口
curl 项目在 9 月 17 日宣布，出于安全原因，本轮发布周期缩短两周。项目随即提前关闭功能窗口，于 9 月 18 日发布 curl 8.23.0-rc1，并将正式版目标日期调整为 2026 年 10 月 14 日。官方同时明确：候选版本用于测试与验证，不应投入生产。
对于在 HTTP、HTTPS CONNECT、SOCKS4、SOCKS5、住宅代理或双栈代理链路中依赖 curl/libcurl 的团队，这段时间的价值在于尽早发现回归，而不是提前升级生产环境。应让当前稳定版本与候选版本在同一受控条件下对照运行。
时间线发生了什么变化
curl 的常规周期包括功能冻结、三个候选版本以及最终发布。本轮为了更快交付待处理的安全修复而压缩周期。rc1 代表稳定阶段开始，但在正式发布前，行为与实现仍可能继续修正。
- 9 月 17 日：提前关闭功能窗口并宣布缩短周期；
- 9 月 18 日：8.23.0-rc1 开放测试；
- 10 月 14 日：当前计划的正式发布日期。
不要因为“安全原因”就推断所有代理客户端都受某个漏洞影响，也不要认为候选版一定比当前稳定版更安全。RC 的主要作用，是在正式发布前暴露兼容性和回归问题。
建立稳定版与候选版双通道
两个通道必须使用相同的受控目标、代理账户、路由选择、请求样本、并发和观察窗口。分别记录二进制或库文件摘要、TLS 后端、解析器后端、已启用协议、操作系统、架构和软件包来源。
如果稳定版和候选版走不同网络，测试就失去比较意义。尽量固定同一授权网关、市场、会话策略与目标夹具。对于天然轮换出口的产品，只进行有限且可重复的多次样本，以区分路由波动与客户端回归。
最低代理回归矩阵
| 范围 | 正向测试 | 负向测试 |
|---|---|---|
| HTTP 代理 | 小型 HTTP 请求经预期链路成功 | 代理不可用时不得直连回退 |
| HTTPS CONNECT | 目标证书与响应标记正确 | 错误代理凭据必须在到达目标前失败 |
| SOCKS5 | 域名解析位置符合配置 | 合成的不可解析域名干净失败且不本地泄漏 |
| 认证 | 支持的方法配合测试账户成功 | 错误凭据不得进入重试或轮换循环 |
| IPv4 与 IPv6 | 各地址族可独立完成 | 单一地址族失败必须准确标记 |
| 连接复用 | 重复请求保持帧与身份边界 | 跨凭据、跨策略复用被拒绝 |
| 取消 | 中止流能及时释放容量 | 取消不得产生替代请求 |
| 限流 | 429 按声明策略退避 | 不得通过出口轮换绕过限制 |
可参考代理响应完整性测试校验状态、响应头、正文标记与路由身份；对于长期复用 libcurl 句柄或连接池的应用，再配合代理连接池年龄测试。
记录能解释失败的证据
每个案例记录：合成测试 ID、客户端版本、构建摘要、代理协议、路由类型、目标市场、地址族、DNS 模式、TLS 后端、开始时间、总耗时、状态或错误分类、重试次数、连接复用决策、预期标记结果与最终结论。
报告中不要保存代理密码、授权头、Cookie、真实客户 URL 或完整响应正文。需要保留 curl 详细日志时，必须先脱敏并限制访问。
先比较正确性，再比较速度。请求更快却走错路由、绕过代理、接受异常证书或返回残缺正文，仍然是失败。
特别检查容易遗漏的代理行为
认证边界
同时测试正确与错误凭据。代理认证失败时，受控目标不应收到请求。若账户、市场或工作负载使用不同身份，除非提供商和应用明确支持，否则一个身份创建的连接不得被另一个身份复用。
DNS 位置
对于 SOCKS 等可配置模式，要证明解析发生在本地还是远端。使用受控区域中的合成域名，对照解析器日志与客户端证据，避免候选版悄悄改变隐私或路由假设。
双栈选择
分别执行仅 IPv4、仅 IPv6 与双栈测试，并记录实际选中的地址族。仅有双栈成功不足以证明 IPv6 正常，因为客户端可能通过 IPv4 完成。
隧道与连接复用
覆盖新建 CONNECT 隧道、复用隧道、空闲连接与最大连接年龄。确认代理层响应头不会混入目标元数据，失败隧道也不会回到连接池。
重试与取消
注入有限的超时、连接重置与显式取消。重试控制器必须区分三种结果。错误代码变化可能把一次失败放大成重试风暴、新出口选择或重复采集。
预先定义晋级与停止条件
建议至少要求：
- 直连回退为零；
- 凭据、Cookie 与诊断信息泄漏为零；
- 所需代理协议和市场全部通过；
- 负向测试得到预期失败；
- 重试、连接抖动与传输字节没有无法解释的增加；
- 响应完整性不低于稳定通道；
- 延迟和错误率差异处于预先声明的容差内；
- 可复现地回滚到稳定制品。
若候选版访问未授权目标、绕过必需代理、把凭据发往错误层、破坏响应帧或产生无界流量，应立即停止测试。安全和策略错误不能用平均值掩盖。
候选版必须留在生产之外
使用隔离运行器、一次性测试凭据、合成目标和保守并发。不要用 RC 替换生产基础镜像标签、共享库或系统软件包，也不要把它放入可能被其他团队误用的通用内部仓库。
正式版发布后，需要针对签名的最终制品重新执行验收矩阵。RC 通过是有用证据，但不能替代正式版本验证。
发布前检查清单
- 稳定版与候选版均通过摘要唯一标识。
- 软件包来源、TLS 和解析器后端已记录。
- 候选版与生产流量和生产凭据隔离。
- HTTP、CONNECT 与所需 SOCKS 模式已覆盖。
- IPv4、IPv6 与双栈分别验证。
- 包含认证正向和负向案例。
- DNS 位置已验证而非猜测。
- 连接复用、空闲年龄与取消已测试。
- 对比了重试次数与传输字节。
- 明确禁止并测试了直连回退。
- 日志已脱敏后再保留。
- 已指定正式版复测和回滚负责人。
常见问题
8.23.0-rc1 可以直接升级生产吗？
不可以。curl 项目明确说明候选版本是用于测试和验证的进行中制品。正式版通过内部控制前，生产应继续使用受支持的稳定版本。
缩短周期是否证明我的代理客户端受漏洞影响？
不能。实际暴露面取决于最终安全公告、具体 curl/libcurl 构建以及应用启用的功能。
是否要测试所有代理节点？
应覆盖所有实质不同的类别：协议、认证方式、DNS 模式、地址族、市场、会话策略与 TLS 后端。覆盖不同能力比重复抽样大量同质节点更重要。
请求成功是否足以证明使用了代理？
不足。必须断言路由身份、关闭直连回退、验证受控响应标记，并在条件允许时核对授权的代理侧证据。
RC 失败而稳定版通过怎么办？
保存最小且已脱敏的复现材料，确认两个通道只在候选制品上有差异，并通过 curl 项目规定的渠道报告。生产继续保留稳定制品，并在下一候选版或正式版复测。
合规说明
只测试已获授权的代理账户、凭据、目标与市场。使用合成数据、有限请求率和隔离运行器，遵守目标条款、robots 策略、隐私要求与限流。不得利用代理轮换规避访问控制、发布者决定或地区限制。
来源说明：curl 项目《A shortened release cycle》，2026 年 9 月 17 日；curl 项目《curl release candidates》，2026 年 9 月 18 日更新。外部研究地址仅保存在内部运营记录。
