Cloudflare 於二零二六年十月十五日在官方 Blog 公布：把 Cloudflare Workers 邊緣運算完整接入 Cloudflare Gateway 與資料外洩防護（DLP），讓安全網關政策路徑可執行客戶自訂程式碼。官方稱為真正可程式的 SASE／安全網關：新動作 Forward 即日起公開測試，自訂函式預計年底前推出，DLP 自訂驗證亦同步上線。來源真實性已驗證：以下事實均直接核對自該官方文章及其結構化資料，不另加未經核對數字。

對香港企業而言，這意味著「政策引擎只能允許／封鎖」的三十年慣例被打開——JWT 標頭注入、即時 Slack 告警、存取理由頁、秘密金鑰活性驗證等，可在同一全球邊緣上以 Worker 完成，而無須長期自維護 NGINX 或 Logpush 旁路基建。下文整理機制、限制與落地含義。

Cloudflare／官方：Gateway 與 DLP 接入 Workers——真正可程式 SASE；Forward 公開測試、政策路徑可跑自訂程式碼

二○二六年十月十五日（協調世界時約十七時十一分），Cloudflare 於官方 Blog 發表《A fully programmable secure web gateway》，作者為 AJ Gerstenhaber 與 Abe Carryl。來源真實性已驗證：本文以該官方文章為唯一事件主來源改寫，並對照文章內嵌 JSON-LD（datePublished 為 2026-10-15T17:11:12.510Z）；不以二手報道覆蓋原文。

官方論點是：市面上安全網關（SWG）近三十年幾乎同一模型——流量符合條件後，只能觸發允許、封鎖、隔離或記錄等終端動作。公開 API、Terraform、Webhook 被許多供應商稱為「可程式」，但 Cloudflare 主張真正可程式意味著：在作出安全決策的當下，於政策評估路徑內聯執行客戶為自身環境編寫的任意邏輯。今次宣布把 Gateway 與 DLP 接到整套邊緣運算平台，並釋出新 Gateway 動作 Forward，以及自訂驗證能力；官方寫明相關能力面向所有 Zero Trust 方案客戶。

一、核心事件：安全閘道與邊緣運算同機合體

技術細節

Cloudflare 強調自身同時擁有：可在全球 三百三十多個 地點執行的 Workers 客戶運算，以及在相同機房、相同機器上評估並強制執行政策的 Gateway。當 Gateway 把流量轉給 Worker 時，調度是本地函式呼叫，無需「繞髮夾彎」再跨網絡邊界，因此官方宣稱這是首個把完整可程式邊緣運算與全功能 SWG／防火牆共置的 SASE 平台形態。

兩種從 Gateway 呼叫 Worker 的入口：

Forward 動作（公開測試，即日起）
對已獲 HTTP 政策允許的流量，第一條匹配的 Forward 規則可把請求代理至綁定的 Worker。Worker 充當內聯中介：可讀取完整標頭與請求本文、修改後再轉往來源、亦可修改回應；亦可只做非同步副作用（例如寫入 R2、呼叫 Webhook、發 Slack），而讓流量繼續。TCP、TLS 終止／重加密、憑證與 HTTP 版本協商仍由 Gateway 處理，Worker 只負責轉換邏輯。
Custom Functions（自訂函式，預計二零二六年年底前推出）
在政策評估期間內聯呼叫 Worker，回傳字串、數字或布林值，並以選擇器形式出現在 Gateway 政策建構器中，可用於網絡或 HTTP 規則條件——類似既有的來源 IP 或內容類別選擇器。Worker 可讀取來源 IP、目的地、身分、裝置態勢、HTTP 標頭等脈絡（視政策階段而定），亦可呼叫外部 API、讀 KV／D1 或呼叫 Workers AI。

官方舉例的痛點包括：遷移關鍵內部應用時需要按身分提供者 JWT 聲明注入 HTTP 標頭，卻不得不另架 NGINX 代理池；偵測到員工註冊新 SaaS 時只能允許／封鎖，結果要建 Logpush→SIEM→Slack 管線並接受約五至十五分鐘延遲；以及多年來高度要求的「敏感目的地先填寫存取理由」插頁——現可用 Worker 寫 KV 工作階段、把理由寫入 D1 或經 Hyperdrive 寫入既有內部資料庫。

二、技術原理深度解析

1. 為何「同機調度」關鍵

獨立 SASE 供應商若沒有自有運算平台，往往要把自動化部署在另一雲端、手動接 Webhook，並承擔往返延遲與拼接系統的維運成本。Cloudflare 的說法是：只有把分散式客戶運算與安全閘道放在同一全球網絡，才能在威脅以 AI 速度演進時，仍讓資安團隊以程式碼快速擴充政策行為，而無須等待供應商為每個威脅向量出第一方功能。

2. Forward 與 Custom Function 的分工

官方建議：Custom Function 適合快速、有界、無狀態的評估——把內部風險評分、複雜群組成員條件等收成單一選擇器值。Forward 則用於對使用者即時請求做強大內聯轉換，需更謹慎設計，以免損害終端體驗。自訂函式失敗（例外、逾時、非預期回傳）時，可按函式設定後備行為；合約要求預設值，以便判定行為。

3. DLP 自訂驗證：從「樣式吻合」到「對我是否真的有意義」

文章後半說明 DLP（已整合於 Gateway、AI Gateway、電郵保安等）現支援透過運算平台定義自訂結果。傳統 DLP 多靠正則、字詞表或情境分析判斷「像不像敏感資料」，卻難以判斷「這一筆是否真的代表外洩或濫用」。精確資料比對（exact data match）又要求客戶準備、維護並轉移參考資料集，並決定是否讓供應商託管最敏感系統的資料。

自訂驗證函式即日起可用：當某個 DLP 偵測項目匹配時，可先派 Worker 跑驗證再決定是否當政策命中。官方範例是：偵測到疑似 GitHub 秘密後，Worker 先向 GitHub API 查金鑰是否仍有效；有效則提高分數、無效則否決（veto）該次匹配，避免對已撤銷權杖過度告警。

4. 供應與計費邊界（僅官方已寫明者）

Forward 與 Workers 整合：即日起公開測試；Custom Functions：預計年底前。
正式推出（GA）後，兩者將面向所有方案類型的客戶。
調度至 Worker 的流量按標準 Worker 請求計費；適用 Workers Free／Paid／Enterprise，功能不設限制，但 Free 有執行時間與每日請求上限，大規模 Gateway 流量需自行評估。
路線圖提到下一步會把自訂功能入口擴至整個 Cloudflare One，電郵保安為下一站。

四、日常應用場景

1. 開發者與技術團隊

可用 Forward 把「本應自架的反向代理轉換」寫成可版本控管的 Worker：注入內部追蹤標頭、按裝置態勢改寫上游請求、或在下載符合條件時把檔案送第三方沙箱／寫入 R2 留存。政策與程式碼可同庫審核，減少影子 NGINX。另可參考官方提到的 Gateway／Workers 整合文件與示例腳本，把代理行為納入既有 CI。

2. 企業與隱私敏感行業

金融、法律、醫療與受規管行業常要「偵測到像秘密的字串」還不夠，還要知道金鑰是否仍有效、資料是否仍屬現行客戶清單。DLP 自訂驗證讓權威資料可留在客戶側來源，只在驗證當下由 Worker 查詢。即時 DLP 命中可直接推 Slack／PagerDuty（含使用者電郵、規則名稱、目的地 URL），縮短五至十五分鐘的 SIEM 延遲窗。存取理由插頁亦利於稽核軌跡。

3. 一般用戶

終端員工體感可能是：造訪敏感分類網站時先出現需填寫理由的提示頁、或某類上傳被更精準地攔截。對一般消費者無直接產品介面變更；真正受益者是企業資安與平台工程團隊。

4. 香港與亞洲市場視角

香港企業普遍同時使用 SaaS、跨境身分提供者與多雲 API。過去要在「買供應商標準政策」與「自維護代理農場」之間二選一；可程式閘道降低在亞太邊緣自建轉換層的誘因。對正在推零信任、資料外洩防護與生成式 AI 上網控管的銀行與持牌機構，能把內部風險模型或合規名單接進政策選擇器，比只靠供應商預設類別更貼近本地規管語境。亞洲多地辦公、流動裝置與承包商并存的環境，亦適合用 Custom Function 綜合身分與態勢後再決定允許條件。

五、專業評價與潛在考量

優勢

把「可程式」從管理平面 API 推進到政策決策路徑內聯，對複雜企業環境有實質差異。
Gateway 與 Workers 共置、本地調度的架構論述清晰，有助解釋延遲與維運取捨。
Forward（測試）、Custom Functions（年底前）、DLP 自訂驗證（即日）分階段落地，並寫明 GA 後涵蓋各方案類型。
用例貼近真實痛點：JWT 標頭、即時告警、理由頁、秘密活性驗證。

需要留意的地方

Forward 仍屬公開測試；Custom Functions 尚未全面推出，規劃時需按官方時程分階段。
Worker 執行時間與錯誤會直接影響政策結果或使用者體驗，需要嚴謹測試、逾時後備與觀察性。
Workers Free 的配額限制可能不適合把大量 Gateway 流量全部送進 Worker。
可程式能力擴大攻擊面：錯誤的 Worker 邏輯、過度寬鬆的秘密存取或不良標頭注入，本身可成新風險，需納入程式碼審查與最小權限。
官方「業界首個完全可程式 SASE」屬供應商定位表述；採購時仍應與其他 SASE／SWG 的擴充模型比較 independently。

結語

Cloudflare 今次把 Gateway／DLP 與 Workers 接成同一決策面，標誌安全網關從「固定動作選單」走向「邊緣可執行政策程式」。對正在收緊零信任、資料外洩與 AI 相關外連的香港與亞洲企業，值得評估 Forward 測試與 DLP 自訂驗證能否取代部分自維護代理與延遲告警管線。若團隊需要把雲端遷移、零信任與網絡安全一併落地，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

Cloudflare Blog, “A fully programmable secure web gateway”, AJ Gerstenhaber & Abe Carryl, 2026-10-15: https://blog.cloudflare.com/programmable-gateway-dlp/
Discovery feed: https://blog.cloudflare.com/rss/