Summary

  • 每条 QUIC 连接拥有一组由端点签发的路由句柄；任何单个 CID 都不是永久会话身份。
  • 迁移能力取决于未使用库存、协商上限和已完成的退役，而不是连接是否仍然打开。
  • 双向 CID 生命周期凭据可以区分路由错误、库存耗尽与隐私轮换。

设想手机从 Wi-Fi 切换到蜂窝网络。密钥仍有效，应用流也未关闭，但客户端无法沿新路径探测服务器，因为手中已没有服务器签发且未使用的 CID。反向发送时，服务器同样需要客户端签发的未用 ID。连接还活着，但路径连续性所需的一项资源已经耗尽。

RFC 9000 第 5.1 节描述的不是一个永久名称，而是一组连接 ID。每个端点独立选择供对端使用的 ID。其主要作用，是在底层地址变化时仍把数据包送到正确的连接状态。

方向不能省略。端点签发的是“发往自己”的句柄；发送数据时则使用对端签发的句柄。抓包中一个目的 CID 只记录一个方向上的当前路由句柄，不能证明统一的连接名称，更不能认证用户、设备或应用会话。

第 5.1.1 节为签发的 CID 分配序列号，新增值通过 NEW_CONNECTION_ID 以递增序列送达。序列号用于核对生命周期消息，不是时钟、全局编号或跨连接身份。

active_connection_id_limit 表示对端愿意维护多少个活动 CID。增加与退役处理后超过上限，必须触发 CONNECTION_ID_LIMIT_ERROR。但容量上限不等于可用库存：总数低于上限时，所有值仍可能已经在路径上消耗或等待替换，因而没有适合新路径的未用 ID。

第 9.5 节明确给出后果：可用 CID 耗尽的端点无法探测新路径、发起迁移，也无法响应对端的探测或迁移。因此“连接在线”不能证明“迁移就绪”。

隐私同样消耗库存。跨多条路径复用稳定 CID，会让被动观察者关联活动。QUIC 禁止发送端从多个本地地址或向多个目的地址复用同一 CID。轮换去掉了一种明显信号，却不保证不可关联；时间与包长仍可暴露关联。

退役本身也有状态。第 5.1.2 节规定，RETIRE_CONNECTION_ID 表示该值不再使用，并请求替换。NEW_CONNECTION_ID 的 Retire Prior To 可以要求清退旧序列。在消息与确认收敛前，两端可能分别看到“已请求退役”和“仍在跟踪替换”的不同状态。

这些签发与退役帧经过加密。被动监测可能看到目的 CID 改变，却看不到序列、库存和确认过程。RFC 9312也指出，CID 会在连接期间变化，而新值由加密帧提供。

零长度 CID 让边界更清楚：握手时选择零长度 CID 的端点不能再签发新值。这是允许的配置，但它主动放弃了 CID 支持的迁移。握手健康不等于地址变化后仍能保持连接。

作为编辑性运营建议，完整的双向库存账本应保存：连接观察 ID 与时间、端点角色、本地及对端地址元组、签发方向、CID 序列号与指纹、活动/未使用/已分配到路径/已请求退役/已退役状态、active_connection_id_limit、最大 Retire Prior To、NEW_CONNECTION_ID 接收时间、RETIRE_CONNECTION_ID 发送与确认时间、关联的无状态重置令牌指纹、首次及最后使用的路径元组、零长度协商、双向未用数量、迁移或探测需求、后端路由结果和隐私限制。保存指纹可避免广泛暴露原值。

单个 CID 能证明的很少。密码学处理和端点状态才把数据包归入连接；生命周期与路径证据才说明是否还能支持另一条路径。CID 数值本身从不构成运营面板可能想附加的人或应用身份。