HTTP/3 与 QUIC 核心机制：把可靠传输搬进用户态

前言

HTTP/2 把多路复用做到了应用层，却治不了 TCP 层的队头阻塞。QUIC 干脆放弃 TCP，在 UDP 之上重建了一条可靠传输，这就是 HTTP/3。理解它的关键不是"又换了个协议"，而是"为什么要绕开内核"。

一、TCP 上做多路复用的三个天花板

1. TCP 层队头阻塞：一个包丢了，内核按序交付，所有流都得等——HTTP/2 把多条请求塞进一条 TCP 连接，反而把风险放大了；
2. 握手串行：TCP 三次握手 + TLS 握手，首次访问 2~3 个 RTT 才发出第一个请求；
3. 连接绑死四元组：手机从 WiFi 切 4G，IP 变了连接就废，重连还得重新握手。

二、QUIC 到底是什么

一句话：跑在 UDP 上的、用户态实现的、内置 TLS 1.3 的可靠传输协议。

┌──────────────────────────┐
│  HTTP/3（帧语义、QPACK）  │
├──────────────────────────┤
│  QUIC：流、重传、拥塞控制  │
│  TLS 1.3（内置，不可关闭） │
├──────────────────────────┤
│  UDP（几乎是唯一的依赖）   │
└──────────────────────────┘

三个直接后果：

• 只能加密：QUIC 强制 TLS 1.3，明文 HTTP/3 不存在；
• 升级不依赖内核：拥塞算法、重传策略都在用户态，改一版库就生效，不用等操作系统发版；
• 中间设备失明：连传输层头部都被加密保护，防火墙和监控只能看到极少元数据——安全提升，运维变难。

0-RTT 是把双刃剑：会话恢复时可以第一个包就带数据，但存在重放风险，只应对幂等请求开启。

三、流与帧：丢包只阻塞自己

QUIC 在连接之上抽象出独立的流（stream），每个流有独立的偏移量和重组缓冲区：

• 流 ID 编码发起方（客户端/服务端）与方向（单向/双向）；
• 帧类型包括 HEADERS、DATA、RST_STREAM、MAX_DATA（流控）、ACK、PING；
• 某一个流的包丢了，只影响该流的重组，其他流继续交付。

HTTP/2 的 HPACK 依赖"全局有序"做头压缩动态表，在 QUIC 里这个前提不成立，于是换成 QPACK：用独立的单向流同步动态表，允许有界阻塞。

四、连接迁移：从四元组到 Connection ID

QUIC 用 Connection ID 标识连接，而不是 IP + 端口。手机切换网络、NAT 重绑定后，只要 CID 不变就能继续用原连接，不重握手、不重传。

代价是服务端要处理地址变化：迁移前必须做路径校验（防放大攻击），并且负载均衡不能再按四元组哈希，要按 CID 或统一转发。

五、拥塞控制：更准的 RTT，更快的迭代

• ACK 帧携带每个包的到达时间，RTT 采样比 TCP + SACK 更精确；
• 默认 CUBIC / NewReno，可切换 BBR；
• 用户态实现让新算法（如 BBRv2）可以按服务灰度，而不是按机器升级内核；
• spin bit 让网络中间点能被动测量 RTT，部分弥补加密带来的可观测性损失。

六、代价与踩坑

七、怎么开起来

Nginx 1.25+ 已内置 QUIC 支持：

server {
    listen 443 ssl;
    listen 443 quic reuseport;

    ssl_protocols TLSv1.3;              # QUIC 只支持 TLS 1.3
    add_header Alt-Svc 'h3=":443"; ma=86400' always;
    add_header QUIC-Status $quic;
}

要点：

1. 客户端首次仍走 TCP，看到 Alt-Svc 后下一次才尝试 h3，所以协议切换是渐进的，不用强推；
2. ma 是缓存有效期，灰度期可以调短，方便快速回退；
3. 上线后看三个指标：h3 请求占比、握手失败率、0-RTT 拒绝率；
4. 收益最大的场景是移动端、弱网、长距离跨境；内网短连接几乎无感。

总结

HTTP/3 的价值链条：绕开 TCP 队头阻塞 → 握手压到 1 RTT → 连接随网络迁移 → 传输层可快速迭代。

它不是一个"更快的新协议"，而是把可靠传输的控制权从内核搬到了应用层。落地时记住两点：永远保留 TCP 兜底，以及UDP 在某些网络里就是不通——这是现实，不是配置问题。