用途：这是一份 NGINX 知识补丁，面向需要升级、加固或迁移 NGINX 配置的运维与开发人员，覆盖 NGINX 开源版（稳定 1.26.x、主线 1.27.1 及后续批次）、FreeNginx 1.27/1.29 与 NGINX Plus（至 R36）。
主要能力：按主题索引安全与升级、核心 HTTP 与运行时、上游与代理、TLS 证书与 QUIC、stream/mail 与协议、NGINX Plus 运维等资料。强调先区分产品线，不要把 FreeNginx 专有指令用于开源版，也不要假设 Plus 专有指令存在于标准构建。
安全与升级：列出多个已修复边界，例如 HTTP/3 内存安全问题需 1.26.1 或 1.27.0，CVE-2024-7347 需 1.26.2 或 1.27.1，TLS 1.3 SNI 会话复用绕过客户端证书校验需 1.27.4，1.28 系列需 1.28.3，1.30 系列需 1.30.3，HTTP/3 QUIC 会话释放后使用需 1.31.2。
破坏性变更与默认值：自 1.29.7 起上游连接缓存默认 keepalive 32 local，HTTP 代理默认 HTTP/1.1；HTTP/2 与 HTTP/3 拒绝 Connection、Proxy-Connection、Keep-Alive、Transfer-Encoding、Upgrade，仅接受 TE: trailers。FreeNginx 1.29.1 默认拒绝代理 HTTP/0.9 响应，1.29.0 将 limit_rate 改为漏桶算法。
常用配置模式：运行时解析上游（1.27.3 起支持 resolver 与 resolve/service）、代理到 HTTP/2 后端（1.29.4 起 proxy_http_version 2）、转发响应 trailer（1.27.2 起 proxy_pass_trailers on）、发送 Early Hints（1.29.0 起）、缓存变量选择的证书（1.27.4 起 ssl_certificate_cache）、按响应时间负载均衡（1.31.0 起 least_time）、stream ALPN（1.31.0 起 proxy_ssl_alpn）、ECH（1.29.4 起 ssl_ech_file，需 OpenSSL ECH 分支）。
限制：具体 CVE、受影响配置与中间修复版本需查阅 security-and-upgrades.md；启用证书压缩、ECH、签名算法变量或 QUIC 0-RTT 前需检查 OpenSSL 要求；SSL key log 属敏感数据；Plus R36 升级前需确认操作系统支持。资料未提供价格与安装命令。