性能、安全、协议合规、跨平台 —— 四大维度支撑 Zenith 作为生产级数据面框架的底气。
XSK + UMEM + 四环，网卡驱动层旁路用户态，配合 io_uring 批量 IO（32 recv + 64 send slot，每批 ≤2 syscall）。
热路径以固定容量数组替代 String/Vec，配合 SmallVec + FxHashMap，单线程本地存储无锁访问。
编译期 Trie 路由实现运行期零开销分发；缓存命中 body 以 Arc<[u8]> 实现 O(1) 克隆。
| 层级 | 组件 | 能力 | 等效系统工具 |
|---|---|---|---|
| L2 | AF_XDP + eBPF/XDP | 网卡驱动层线速包过滤（XDP_DROP/PASS） | xdp-bpf / tc-bpf |
| L3 | SourceAdmissionEngine | 源 IP / 端口 / 协议三维过滤 | iptables -s / nft |
| L3 | AddressWhitelist CIDR | 子网级过滤（/8, /16, /24） | iptables -s 10.0.0.0/8 |
| L4 | 端口 / 协议过滤 | 源/目标端口、TCP/UDP/ICMP/Any | iptables -p |
| L4 | TCP 状态机 | 连接状态跟踪（RFC 9293） | conntrack |
| L4 | TcpRelay / ForwardEngine | 端口转发、协议转换、双向白名单 SSRF 防护 | DNAT / haproxy mode tcp |
SQLi / XSS / SSRF / 命令注入 / 路径穿越 / BotThreat，50ms 预算 fail-closed，解码后就地压缩 NULL 字节防注入绕过。
TLS 与 HTTP/3(QUIC) 连接均采集指纹，blocklist 前缀阻断 + 64 分片速率限制，黑名单 403。
SNI ↔ Host ↔ :authority 四元一致，不一致 → 421；请求走私防护（CL.TE / TE.CL / TE.TE）。
RFC 7230 全实现，热路径零堆分配、流式解析、CRLF 防注入、强制 Host。
RFC 7540 帧解析、流多路复用、HPACK 压缩、流量控制、Rapid Reset 检测。
RFC 9114 + QUIC（RFC 9000），QPACK、SETTINGS、GOAWAY，真实 QuicServer。
EnvironmentDetector 真实探测 → ProfileSelector 多目标评分 → degrade() 三级降级链。Windows 上 TcpRelay 自动回退 std::io::copy，WAF/代理/缓存/路由全功能可用。
作为依赖库，除协议规范常量外，所有运行参数均支持运行时热更新。写操作低于微秒级，不触碰读热路径，对所有 clone 副本立即生效。