Bitcoin Core 0.3.19 发布说明解读：最早的 DoS 防护（-limitfreerelay）与 "safe mode" 告警的移除

本篇以 Bitcoin Core 仓库中的 release-notes-0.3.19.md 为主线，解读这个早期版本仅有的两项变更——引入 -limitfreerelay 限流开关作为初步 DoS 防护，以及移除 "safe mode" 告警机制。读完后你会理解：这两项看似零散的设计决策是如何从 0.3.9 时代的内存溢出漏洞、早期的免费交易泛洪风险出发，并一直演化到后续 0.11–0.16 各版本中的（包括它们的默认值调整与最终被移除），从而掌握 Bitcoin Core 早期策略层（policy）设计的来龙去脉。

背景：一个"应急快速构建"的版本

0.3.19 的发布说明开门见山（原文）：

There's more work to do on DoS, but I'm doing a quick build of what I have so far in case it's needed, before venturing into more complex ideas. The build for this is version 0.3.19.

也就是说，0.3.19 并不是一个规划完整的里程碑版本，而是开发者在深入更复杂的 DoS 防护方案之前，先把已经完成的防攻击改动打包发布，以备网络环境需要。文中"As Gavin and I have said clearly before"这一措辞，也印证了 0.3.x 时代的开发由多位早期核心开发者协作推进。整个版本说明只有两个条目，但每一个都对应一项真实的策略层变更。

变更一：加入初步 DoS 控制与 -limitfreerelay 限流开关

原始声明：诚实承认防护能力有限

发布说明中对 DoS 问题措辞非常直白（原文）：

As Gavin and I have said clearly before, the software is not at all resistant to DoS attack. This is one improvement, but there are still more ways to attack than I can count.

开发者没有夸大防护效果，而是明确承认：0.3.19 只是众多改进中的一项，攻击面远未闭合。同时说明：

I'm leaving the -limitfreerelay part as a switch for now and it's there if you need it.

即 -limitfreerelay 在 0.3.19 中是作为一个"按需开启的开关"保留下来的，默认行为并不激进，运维者遇到压力时再显式启用。

从后续版本文档看 -limitfreerelay 的实际语义

0.3.19 的说明没有展开参数细节，但仓库后续多个版本的发布文档完整补上了它的定义和作用机制：

• 在 release-notes-0.11.0.md 中写道：limitfreerelay 用于限制免费交易（满足优先度条件的交易）的接收速率，单位是 kB/分钟，默认值为 15；调低该值可以减缓内存池（mempool）因免费交易而增长的速度。文档给出了在 bitcoin.conf 中的完整配置示例：

  minrelaytxfee=0.00005
  limitfreerelay=5
  

• 在 release-notes-0.12.0.md 中进一步说明：-limitfreerelay=<r>（默认 r=15 kB/分钟）与 -blockprioritysize=<s> 共同决定低费/高优先度交易的转发与挖入策略；并且从 0.12 起，当内存池达到上限时会触发更高的有效最低中转费，即使交易在优先度启发式下排名很高，不满足该费率也不会被中转或打包。

从这条脉络可以推断：0.3.19 中"加入的 DoS 控制"，核心思路就是对免费（免手续费）交易的中转速率做令牌桶式限流——攻击者若用海量无费交易泛洪节点，节点每秒能接纳的无费交易量被钳制在 limitfreerelay 设定的 kB/分钟之内，从而把内存池增长速度与 CPU 校验开销压在可控范围内。这也正是文档标题所称"最早的 DoS 控制"的技术含义。

该参数的生命周期：从 0.3.19 引入，到 0.15 彻底移除

-limitfreerelay 最终随"免费交易"概念一起退出历史舞台。release-notes-0.15.0.md 记录了原因：

The concept of free transactions has been removed. ... The -limitfreerelay and -relaypriority options which controlled relay of free transactions have therefore been removed.

0.15 版本移除了 Coin Age Priority（币龄优先度）这一矿工策略概念，"免费交易"不复存在，其限流参数自然失去作用对象；同时 -minrelaytxfee 自此允许设为 0，最低中转费默认 1000 satoshi/kB，DoS 防护的重心彻底转向手续费门槛。因此可以这样总结 0.3.19 这次改动：-limitfreerelay 是 Bitcoin Core 从"完全无 DoS 防护"走向"基于优先度限流"的第一块垫脚石，存活了 0.3.19 至 0.15 共十余个大版本。

变更二：移除 "safe mode" 告警机制

移除动机：临时措施到期

0.3.19 的说明（原文）：

"safe mode" alerts was a temporary measure after the 0.3.9 overflow bug. We can say all we want that users can just run with "-disablesafemode", but it's better just not to have it for the sake of appearances. It was never intended as a long term feature.

关键事实逐条拆解：

1. 来源：safe mode 是 0.3.9 发生内存溢出（overflow）漏洞之后引入的临时性应急机制；

2. 移除方式：不是把开关藏起来，而是干脆去掉告警本身——开发者认为与其反复叮嘱用户加 -disablesafemode 参数绕过，不如从根上移除；

3. 边界保留：说明明确写道，safe mode 本身并未被废除——

   Safe mode can still be triggered by seeing a longer (greater total PoW) invalid block chain.

   即当节点看到一条总工作量（PoW）更大但无效的区块链时，safe mode 仍会被触发。这是它保留下来的唯一语义。

从仓库后续文档与源码看 safe mode 的完整画像

safe mode 具体做什么，在 release-notes-0.16.0.md 中有完整描述：

Safe mode is a feature that disables a subset of RPC calls - mostly related to the wallet and sending - automatically in case certain problem conditions with the network are detected.

即：当检测到网络处于某些问题状态时，自动禁用一部分 RPC 调用（主要是钱包与转账相关），防止用户在分叉/落后于主链的状态下错误地发起转账。该文档还记录了 0.16 的演进：safe mode 改为默认关闭，需要手动以 -disablesafemode=0 重新启用；即便如此，相关检查仍会在 RPC 的 warnings 字段中产生警告并触发 -alertnotify 命令。

在现行源码中，safe mode 的痕迹被刻意保留为兼容性占位：protocol.h 中定义了

//! Unused reserved codes, kept around for backwards compatibility. Do not reuse.
RPC_FORBIDDEN_BY_SAFE_MODE      = -2,  //!< Server is in safe mode, and command is not allowed in safe mode

错误码 -2 被标记为"未使用的保留码，保留是为了向后兼容，不得复用"。从源码结构看，这是 safe mode 机制退出主流程后，为避免旧客户端解析旧错误码出错而留下的协议层化石，与 0.3.19 "移除告警但保留触发条件"的思路一脉相承。

版本定位与阅读提示

• 本文所述全部事实均出自 release-notes-0.3.19.md，参数语义与后续演化则引自同目录下的 release-notes-0.11.0.md、release-notes-0.12.0.md、release-notes-0.15.0.md、release-notes-0.16.0.md；
• 同一 0.3.x 系列中，后续版本如 release-notes-0.3.20.md、release-notes-0.3.21.md 记录了 UPnP、DNS seed、RPC sendmany 等功能，可对照阅读以还原早期版本的演进节奏；
• 适用前提：-limitfreerelay 与 -disablesafemode 均不存在于现行版本的 Bitcoin Core 中，本文属于历史机制考据，请勿在当前版本配置中直接套用这两个参数；现行版本对无费交易的防护已由 minrelaytxfee 费率门槛机制取代。

小结

0.3.19 是一次仅含两个条目的快速构建版本，但它恰好落在 Bitcoin Core 策略层演化的两个关键转折点上：

1. -limitfreerelay 确立了"对免费交易按 kB/分钟限流"这一最早的 DoS 防护范式，默认 15 kB/分钟，直至 0.15 移除 Coin Age Priority 时退役；
2. 移除 safe mode 告警 则展示了早期项目对"临时应急功能"的诚实管理方式——承认它是 0.3.9 溢出漏洞后的权宜之计，按期拆除告警外壳，仅保留"看到更高总工作量无效链"这一最小触发语义，并在源码中以保留错误码 RPC_FORBIDDEN_BY_SAFE_MODE = -2 的形式维系协议兼容。

这两条记录与后续 0.11–0.16 的发布说明互相印证，构成了一条清晰可查的早期安全与策略设计演化链。