Node.js 24.20.0: --use-system-ca теперь проверяется для каждой env. Безопасный runbook для edge case: фиксируем наблюдения, возвращаем baseline и не делаем лишних выводов.
Подтверждённый факт и предел вывода
Официальный changelog Node.js 24.20.0 LTS фиксирует конкретное изменение: --use-system-ca сделан per-env вместо per-process. Проверяемая пользовательская проблема уже: worker или отдельная environment наследует выбор system CA не так, как ожидает управляющий процесс. Release note не доказывает массовость, причину любого похожего сбоя или совместимость приложения целиком. До опыта запишите версию бинарника, способ запуска и ожидаемый класс результата. Разделяйте наличие изменения в релизе, воспроизведение на стенде и разрешение на production-миграцию: это три разных утверждения.
Изолированный fixture и baseline
Подготовьте только синтетический стенд: main и один Worker, каждый делает TLS-проверку локального тестового endpoint с публичным тестовым CA. Сначала выполните ветку A на текущем разрешённом runtime и сохраните наблюдаемые поля, затем B на Node.js 24.20.0, после чего верните A2. Меняйте один фактор — версию или точную опцию — и ставьте конечный timeout. Не используйте production database, реальные домены, ключи, cookies, токены, пользовательские файлы или полные переменные окружения. Если A и A2 расходятся, стенд загрязнён и причинный вывод откладывается.
Матрица наблюдений без догадок
Для каждого прогона заполните строку: environment × effective CA mode × handshake result × verify error × parent unaffected. Значения должны быть получены напрямую: код завершения, тип ошибки, счётчик, fingerprint тестового объекта или явный state. Не записывайте «стало лучше» и не делайте вывод из одного общего лога. Повторите B минимум в той же последовательности, но не превращайте повторы в нагрузочный тест. Отдельно отметьте версию Node.js и то, остались ли исходные синтетические данные неизменными после опыта.
Контрольная ветка и дерево решения
Независимый control для этой проверки: тот же endpoint с сертификатом, доверенным встроенным набором обеих веток. Он нужен, чтобы отделить свойство API от ошибки fixture, платформы или порядка событий. Примените заранее записанное дерево: результаты различаются по заданной env — граница подтверждена; одинаковы вопреки настройке — проверяем флаги; control падает — TLS fixture неверен. Не объединяйте отсутствие симптома и исправление: если A не воспроизводится, B ничего не доказывает. Если control даёт тот же неожиданный результат, вернитесь к минимальному примеру и не меняйте рабочую конфигурацию.
Красные флаги и остановка
Стоп-критерий здесь конкретный: не добавлять корпоративные или приватные CA и не менять trust store production в рамках теста. Немедленно остановите прогон также при выходе за временный каталог, неожиданном сетевом соединении, запросе повышенных прав, повреждении fixture, отсутствии timeout или невозможности вернуть A2. Crash, зависание, расхождение повторов и результат, который нельзя отнести к одному классу, — не повод подбирать удобное объяснение. Это основание сохранить минимальный case и отложить rollout.
Минимизированная эскалация
Для поддержки достаточно передать: версии main/Worker, публичный fingerprint тестового CA, effective flags и verify error. Добавьте время по Москве, архитектуру, точную версию Node.js, команду только с несекретными флагами, ожидаемый класс и фактический класс результата. Удалите домашние пути, адреса, содержимое базы, реальные hostname, ключи, authorization headers и длинные сырые логи. Такой пакет должен позволять воспроизвести одну границу и выбрать следующий обратимый тест, а не раскрывать рабочую среду.
Протокол проверки №20: use-system-ca-worker-env
Шаг 1 — зафиксируйте ровно эту исходную боль: worker или отдельная environment наследует выбор system CA не так, как ожидает управляющий процесс. Шаг 2 — подтвердите только релизную границу «--use-system-ca сделан per-env вместо per-process», не приписывая changelog пользовательскую частоту. Шаг 3 — создайте единицу опыта «main и один Worker, каждый делает TLS-проверку локального тестового endpoint с публичным тестовым CA» и дайте ей отдельный временный каталог. Шаг 4 — до изменения заполните поля «environment × effective CA mode × handshake result × verify error × parent unaffected», чтобы baseline был проверяемым. Шаг 5 — выполните независимый контроль «тот же endpoint с сертификатом, доверенным встроенным набором обеих веток»; его результат не подменяет основную ветку. Шаг 6 — сравните классы исходов по правилу «результаты различаются по заданной env — граница подтверждена; одинаковы вопреки настройке — проверяем флаги; control падает — TLS fixture неверен». Шаг 7 — верните исходное состояние и повторно снимите именно «environment × effective CA mode × handshake result × verify error × parent unaffected». Шаг 8 — при любом неясном результате примените запрет «не добавлять корпоративные или приватные CA и не менять trust store production в рамках теста». Шаг 9 — сформируйте артефакт только из следующего набора: версии main/Worker, публичный fingerprint тестового CA, effective flags и verify error. Шаг 10 — удалите синтетический fixture и убедитесь, что не осталось процесса, listener, test key, временной базы или изменённого trust state. Успех протокола №20 означает лишь воспроизводимость границы «--use-system-ca сделан per-env вместо per-process» на этом стенде. Он не означает, что зависимость приложения совместима, rollout разрешён или наблюдение повторится на другой платформе.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, даты и ссылки перепроверены. Реальные пользовательские данные не использовались.
Источники и проверка
- Node.js 24.20.0 release notes проверено 2026-08-29
- Node.js pull request #60678 проверено 2026-08-29
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.