CFNext —— 部署在 Cloudflare Workers / Pages 的代理订阅管理面板，单文件同时实现 VLESS / Trojan / XHTTP 多协议代理与图形化配置：/UUID（或自定义路径）进入面板，/sub 输出订阅；内置节点优选器、节点数量控制、轮询下发、ECH 加密、落地与出站代理及地区 / 运营商 / IP 版本多维筛选，部署即用，绑定 KV 后改完即生效。

Telegram 交流群　YouTube 频道

• **节点连接提速（出站并发竞速）直连与内置地区反代改为并发发起，取最先握手成功的，败者连接立即释放。原先「串行尝试 + 逐级超时」会在目标站走 Cloudflare 时白等约 6 秒（直连被 Workers 回环保护拦截），现在反代同时进行，通常 1 秒内即可用。各出站模式（仅代理 / 不走代理 / 默认）的优先级语义保持不变。
• WS 0-RTT 早数据（ed=2048）​：TLS + WebSocket 节点链接（VLESS / Trojan 链接、Clash、sing-box）自动携带 ?ed=2048，客户端可在 WebSocket 握手阶段预发首个数据包，服务端在握手时即取出并抢先建连，省去一个往返（约 1 个 RTT），明显改善测速、网页首包等握手敏感场景。服务端只接受能通过协议校验的数据，解析失败静默回退，对不支持的客户端零副作用。
• IPv6 下发策略：新增「不下发 / 仅备胎 / 等权混合」三档，默认「不下发」。IPv6 到 Cloudflare 的可达性取决于客户端所在网络，此前 500 条清单里 IPv6 占 230 条，会显著拖长客户端的逐节点择优。默认档即使勾选了「IPv6」也不进清单；「仅备胎」占比封顶 且整体排到列表尾部；仅勾选 IPv6（单选）时策略自动让位，订阅不会变空。此为运行期策略，重新部署即生效，无需清 KV、无需改面板开关。
• 保底节点前置：实测高存活 IP（「优选IP-Sxx」「内置·保底-XX」「隧道前置-XX」）恒定保留在清单头部，组内仍随机轮换（首节点永远是稳定节点，但不是固定）；其余节点整体乱序。避免这批最稳的节点在节点数封顶时被顺序截断砍掉，也保证客户端「取第一个」就是可用节点。关闭负载均衡时只做前置、不打乱，语义不变。
• 家宽「隧道前置」节点自动生成：家宽节点依赖「隧道前置」拨号，而隧道过去取自会被协议开关 / 筛选清空的结果，导致只开家宽的用户拨号链断裂。现在隧道节点固定为 VLESS + WS + TLS(443)，由 Worker 从内置实测可用 CF 段直接生成，不再受面板协议开关、地区 / 运营商筛选与优选源影响，保证家宽始终有可拨号入口。

• 提速失效修正：三处独立问题——① 反代抢走本可直连的流量（新增直连优先窗口，窗口内直连成功就用直连，目标确定在 CF 段时直接上反代）；② 首包等待窗口过长（由 400ms 收紧到 80ms）；③ VLESS 的 2 字节响应头下发过晚，导致部分客户端互等（改为解析成功即刻下发）。
• 家宽列表协议归一：/api/hwlist 默认协议由 udp 改为 tcp，与隧道承载能力一致。

• 新增「家宽模式」模块（VPN Gate OpenVPN）：自动拉取 VPN Gate 当日列表，下发为「家宽XX」节点（XX 为地区，同地区自动加序号）；开启后家宽 OpenVPN 节点通过「隧道前置」自动测活组拨号，先经自有 CF 节点握手、OpenVPN 传输整体走 CF 隧道，隧道自动切换，解决大陆直连 VPN Gate 失败
• VPN Gate 列表缓存与代拉：列表缓存 30 分钟（每小时清空重建、每 5 分钟按吞吐重排），缓存不足 30 台自动强制刷新，拉取失败回退上一份缓存；大陆直连超时由 Worker 边缘代拉

• 订阅 Clash 配置 geosite 补全：从 GitHub 获取规则集补全 Clash 配置中的 geosite 分流
• ALPN 协商随面板设置下发：h2 / http/1.1 逗号分隔，Clash、Sing-box 与 VLESS/Trojan/XHTTP 节点链接均实际下发
• 补全GUI.for.SingBox规则集：使用GUI.for.SingBox客户端请通过导入 sing-box 配置插件进行导入，快速开始下载配置文件会报错导致内核无法拉起

• 新增首次(重置KV)登录需强制设置登录密码，对应面板设置管理密码（留空则面板免登录）选项;
• 新增负载均衡（默认开启），每次订阅请求对节点顺序做随机轮换（Fisher-Yates），客户端连接分散到整批节点，避免全部集中踩同一批头部「最优 IP」导致拥塞变慢；关闭则保持固定顺序（头部为最稳节点），位于「节点配置」选项中；

1.修复2.0版本下发的配置文件在SingBox客户端无法启动的两处问题，

• 开启多协议后节点名称出现重复，SingBox客户端配置要求不能出现重复名称，更新重命名协议，Vless→无，Trojian→XX.T，Xhttp→XX.X；

• 新增 CF 配额安全监控：面板配置 Cloudflare 账户 ID + API 令牌（或环境变量 CF_ACCOUNT_ID / CF_API_TOKEN）后，可实时查看当日 Workers + Pages 请求量、剩余额度、CPU 时间与子请求数（GraphQL 查询，5 分钟缓存，429 限流自动退避 15 分钟）
• 新增配额自动调节：当日用量 ≥60% 免费额度时按比例收缩订阅节点上限（60%→1000 条、70%→750、80%→500、90%→250、100%→100 保底），保护免费账户额度不被刷爆
• 出站代理新增 SS 协议支持（aes-128-gcm / aes-256-gcm / chacha20-ietf-poly1305；chacha20 为纯 JS 实现，兼容 Cloudflare Workers 加密环境）
• 为保障免费额度使用量（轮询机制大家又不喜欢），默认开启精确节点数量控制（数量 500，范围 1-1000），关闭后全量下发，可自行调整；轮询默认关闭
• 新增内置保底优选 IP：20 条实测可用的 CF 官方任播段 IP，固定 443 追加下发，保证订阅内始终有稳定可用节点
• 新增节点测活：默认开启 TCP 测活剔除死节点（并发闸 ≤4 防排队假死），relay 中转双重测活（TCP + HTTP 200/204），优选域名 DoH 预检剔除死域名（10 分钟缓存）；可用 PROBE_ALIVE=0 强制关闭
• 新增 bestcf 区域优选池与 HostMonit 实时优选源：随机补足优先用优选池，不足再回退 CF CIDR 随机生成
• 单选 IPv6：全走 Cloudflare 官方 ips-v6 网段（自动拉取、6 小时缓存），内置实测池转 IPv4-embedded IPv6，不再靠随机 v6 段硬凑
• IPv4+IPv6 双选：preferredIPs 做 v4/v6 交替重排，避免数量控制截断时 IPv6 被整个挤掉
• 面板全新重写：侧边栏布局 + 6 个视图（仪表盘 / 节点配置 / 优选配置 / 配额安全 / 面板设置 / 关于），支持日间 / 夜间 /
• 新增订阅预览、按客户端联动的订阅二维码（Clash / Sing-box / Surge 安装 scheme）、自定义订阅路径别名（如 /AAZ/sub）
• 新增配置 JSON 导出 / 导入（备份迁移）、UUID 一键生成
• 新增 Surfboard 订阅格式与明文 vless 输出（面板格式选择新增 Surfboard / Stash / 明文 vless）
• 更新检测重写：明文 / 混淆版按部署形态各自拉取对应仓库代码，60 秒缓存

1. 修复 Issues 反馈的开启 ECH 后，通过 Clash / Mihomo 订阅下发 ECH 不生效的问题（mihomo 规范为顶层 ech-opts，旧格式 tls-opts.ech 不被识别）
2. 修复 XHTTP 节点在 mihomo / Nekobox 下导入报错的问题（主机字段改为规范顶层 host，headers.Host 会被误读为请求标头）
3. 修复 XHTTP 节点在 Clash 下全部超时的问题（stream-one 依赖 HTTP/2 双向流，xhttp 节点 alpn 强制 h2，ws 节点保持 http/1.1）
4. 修复原生地址不受面板开关控制下发的问题（新增「地址来源」开关，原生地址默认关闭不下发）
5. 修复内置反代 IP 节点默认下发的问题（proxyip.*.cmliussss.net 不再自动塞进订阅，需要反代请自行填写）
6. 修复 AsteriskNG / v2rayNG 无法加载配置文件的问题（下发回滚明文与 1.x 版本保持一致，避免客户端按 GBK 解码 base64 导致乱码 / 加载失败）
7. 修复 Surfboard 下发的配置文件为空的问题：Surfboard 分支改为输出 Surge 风格配置，VLESS 节点全部转换为 Trojan（密码 = UUID，与 Worker 服务端一致），过滤 XHTTP 与明文端口节点（Surfboard 不支持 XHTTP；Trojan 定义内嵌 TLS，明文端口无法握手）
8. 修复出站代理不可达时永久挂起的问题（所有出站连接统一 6 秒超时快速失败，及时走反代兜底）
9. 修复 TLS 握手中途被截断的问题（SOCKS5 / HTTP 代理握手残留字节不再丢弃，转发前补发给客户端，解决 Telegram 等"连接通但流量为 0"）
10. 修复代理账号密码含 URL 编码字符认证失败的问题（user:pass 中 %40/@、%28/() 等先解码再认证）
11. 修复自定义域名部署明文端口节点全部不可用的问题（非 *.workers.dev 自动开启仅 TLS，实测自定义域名明文端口被 CF 边缘拒绝）
12. 修复 QuanX 节点 IPv6 格式与证书校验问题（IPv6 补方括号避免端口歧义，tls-verification 改为 true）
13. 优化云端测活机制，移除大测活块对齐 1.x 版本，仅保留初始化测活（测活仍存在 4 处：1. 首次初始化测活，2. fillCount 补足小范围测活，3. 优选域名测活，4. 节点数量控制补足测活）
14. 优化 KV 读写：配置读取走 30 秒边缘缓存（太长影响更改保存写入），轮询窗口仅在内容实际变化时写入（KV 免费写配额仅 1000 次/日）
15. 修复了混淆版下发节点乱码的问题，混淆器把代码里 '\uFFFD' 转义字面量改写成空格判定， bestcf 源（行内含空格）被误判 GBK， "香港 / 台湾 / 美国" 乱码；

1. 筛选设置勾选「IPv6」但实际只下发 IPv4 节点；IPv4+IPv6 同选不能混合下发；IPv6 节点全部 -1 不可用

• CF CIDR 随机补足/随机优选一直用全 IPv4 段（REACHABLE_CIDRS），数据源不产 IPv6；
• 内置静态优选池（300 条全 IPv4）先占满 ，IPv6 补足无位置；
• bestcf 地区源为纯 IPv4 文本且解析结果先占满。三者叠加导致 IPv6 筛选后节点池为空 → 触发 filterNodes 逐级放宽（放宽 ipType）→ 回退全部 IPv4。

• 新增 REACHABLE_CIDRS_V6 段池供补足与随机优选；
• randomIPFromCidr 识别 IPv6 段走新增 randomIP6FromCidr；
• IP 类型筛选语义拆分为三段：单选 IPv4 → 只下发 IPv4、单选 IPv6 → 只下发 IPv6、IPv4+IPv6 同选 → 混合下发；
• 新增 ipv4ToEmbeddedV6——内置实测池 300 条 IPv4 转 CF IPv4-embedded IPv6（2606:4700::<hex>，实测 6/6 TCP 可达、与对应 IPv4 路由到同一 CF 边缘），单选 IPv6 时内置池全量转 embedded IPv6 替代随机补足、混合时一半保持 IPv4 一半转 IPv6，实现"下发即用"；
• 新增 fetchCfIpsV6：IPv6 相关筛选/随机优选时动态拉取 Cloudflare 官方 cloudflare.com/ips-v6 公开网段（7 个官方 CIDR，随公告自动同步），内存缓存 6 小时，拉取失败自动回退内置段，补足与随机优选优先使用官方段（含内置缺失的 2405:b500::/32、2405:8100::/32）。

1. Trojan 协议在 Mihomo/Clash Verge 中延迟失败/不可用的问题
2. 更换Mihomo内核下发的配置文件，新配置增加防DNS泄露；
3. 根据现有代码，更新特别鸣谢/调用 API 接口名单

• 明文版代码支持检测更新，点击右上角版本号即可检测，检测到新版本会自动复制新版本的代码到剪贴板；
• 此版本之前的代码均不支持更新检测，强烈建议更新此版

1. 节点数量控制 不生效的问题，改为全局生效；

• 订阅生成器默认节点源更换为 6 条 bestcf 地区中转池（原默认仅解析 14 个 CNAME 域名）
• 放行社区维护的可达中转 IP（此前被 filterCF 与 buildNodes 按"非 CF 官方段"一刀切过滤）
• 静态内置优选 IP 池移至动态节点之后统一追加，不再挤占 Clash 300 上限
• 默认下发数量提升：fillCount 30 → 1000，结构化上限 300、轻量上限 800
• 新增 SAFE_CAP 安全上限：结构化格式（Clash/SingBox 等）300、轻量格式（v2ray 等）800，nodeLimit 超出自动钳制
• 出站连接增加超时保护：直连 6s / 自定义 proxyIP 6s / 内置反代 5s，SYN 被静默丢弃时不再无限挂起
• 内置地区反代升级为多地区轮询（本地区域优先，最多 3 个区域），单个反代失效不再导致整条链路流量为 0
• WebSocket 代理增加早期数据帧暂存缓冲：出站建立期间到达的 TLS 握手数据不再被丢弃

1. 下发节点可用数量少 → 根因四处叠加（地区池从未使用 / 非 CF 段 IP 全被过滤 / 静态池占满上限 / 默认值保守），修复后默认下发 800 节点（Clash 结构化 300），地区节点排前
2. 静态内置 IP 挤占节点列表前部 → 内置池置后追加，动态地区节点优先
3. 自定义订阅模式合并默认节点数量不足 → 修复合并逻辑，自定义+追加=800、自定义严格=600
4. 节点过多触发 Worker 免费版 10ms CPU 限制 → 本地冷启动实测后钳制（clash 300≈5-6ms、v2ray 800≈7ms），全部收敛到安全范围
5. GUI.for.SingBox 连接速度有、网络速度为 0 → 修复三处BUG：①直连无超时，CF 托管站点被回环保护拦截后无限挂起，永远走不到反代兜底；②兜底反代仅单个地区，失效即死路；③出站建立期间到达的早期数据帧被静默丢弃，TLS 握手无法完成。
6. CF 托管站点（speed.cloudflare.com 等）直连被回环保护拦截 → 超时后自动进入反代兜底链路

• 内置节点池扩充：由原来的 37 个 → 扩充至 300 个 IP（从实测可达优选池精选，统一命名 优选IP-001 ~ 优选IP-300）
• 新增【重置】按钮（位于"保存全部"上方）：点击后清空 KV 中全部数据，面板还原为初始部署状态（需二次确认，不可恢复）

1. YouTube 掉速 / 节点大面积 -1 → 出站逻辑回滚至 1.0.1 版：直连目标永远最先尝试，自定义落地其次，内置地区反代最后；若仍出现掉速，将节点配置中的出站模式改为其它模式，再改回默认（优先代理，失败直连）即可

• 节点配置选项：节点相关设置新建独立模块
• 新增节点数量控制选项：开启后可控制最终下发节点数量（CF 免费额度保护机制）
• 新增轮询机制开关选项，默认开启（给用户更多选择，不再默认锁定开启轮询机制）
• 优选器订阅模式新增开启/关闭选项：关闭时仅下发自定义订阅中添加的自定义节点，开启时追加内置及默认节点

• 默认模式（订阅关闭）：下发「优选域名解析节点 + 内置优选池 + 官方域名节点」，随机补足不超过上限 20%——保证开箱即用的节点质量
• 轮询机制（默认开启）：Clash 上限 300 / V2rayN 上限 800，更新订阅覆盖上次下发的节点（KV issuedIPs 滑动窗口 200 条），客户端定期换新 IP 且数量恒定
• 关闭轮询：忽略轮询与数量限制，一次性下发全部节点（Clash 上限放宽至 10000）
• 节点数量控制：开启后按输入数量精确下发（1-1000），输入多少下发多少；订阅模式关闭时不强制补足（有多少发多少）

1. 登录 Cloudflare 控制台 → Workers 和 Pages → 新建 Worker
2. 将 CFNext 明文版/混淆版 全文粘贴到 Worker 代码编辑器
3. 设置 环境变量 U = 你的 UUID（必填，同时用作面板访问路径；可另设 D 自定义路径）
4. （推荐）创建 KV 命名空间 并在 Worker 设置中绑定，变量名设为 K——配置面板保存后持久化
5. 部署后访问 https://你的域名/UUID 进入图形化配置面板

1. 登录 Cloudflare 控制台 → Workers 和 Pages → 新建 Pages 项目
2. 将 CFNext 明文版/混淆版 放到项目目录（或压缩为 zip 上传），框架选择「无」
3. 设置 环境变量 U（同上）
4. （推荐）创建 KV 命名空间并在 Pages 设置中绑定，变量名设为 K
5. 部署后访问 https://你的域名/UUID 进入图形化配置面板

• 访问 https://你的域名/<UUID> 直接进入面板
• 若设置了 ADMIN 管理密码，访问面板需先登录（UUID 路径 + 密码双重校验）
• 订阅地址：https://你的域名/<UUID>/sub（下方「订阅地址」模块有各客户端一键复制链接）

优先级：KV 配置 > 环境变量 > 默认值

部署后访问 https://你的域名/<UUID> 进入图形化配置面板。

• 数据源：微测网 IPv4 / 微测网 IPv6 / 优选 IP 列表（bestcf）/ HostMonit 优选 / 自定义数据源 URL
• 端口：443 / 8443 / 2053 / 2083 / 2087 / 2096 / 自定义，任选测速
• 测速结果实时展示，同一 IP 自动去重，可一键「加入优选节点」保存后随订阅下发
• 在线优选前建议关闭代理（优选请求由本机直连发出）

• 能确定地区的节点显示中文地区名：香港 / 台湾 / 日本 / 美国 / 新加坡 / 韩国 / 德国
• 无法确定地区统一为「优选IP-XX」
• 数据源自定义名称（如 JP-A-147）原样保留，不会被改名规则误伤

• 随机占比限制：默认模式随机补足 ≤ 上限 20%，节点主体来自域名解析与内置优选池，保证开箱节点质量
• 下发前探测：随机生成的节点 Worker 端 TCP 443 并发探测，剔除完全不可达 IP
• DoH 优化：CF 1.1.1.1 内部 DoH 优先（同机房内网时延、仅计 1 次子请求），失败降级阿里 DNS；IPv4 模式跳过 AAAA 查询，子请求稳定低于 15 次（免费版 50 次硬限）
• 滑动窗口轮询：KV issuedIPs 滑动窗口 200 条，更新订阅覆盖旧节点、数量恒定
• SWR 容灾缓存：外部优选源拉取失败时沿用上一轮有效节点，订阅永不枯竭
• UUID 鉴权：访问路径中的 UUID（或自定义路径）与配置一致才放行；设置管理密码后面板需登录
• 非法路径拦截：无效路径直接 404，不触发 KV 读取

• 隧道与代理思路参考 cmliu/edgetunnel 公开项目（仅借鉴原理，代码独立实现）
• 优选数据源：bestcf、WeTest、HostMonit 等社区维护
• 本项目的图形化配置、优选器、多客户端订阅等功能均为独立实现