docs: record verified HTTP2 proxy and rolling drain acceptance

transport/http2/PROXY.md

@@ -0,0 +1,45 @@
+# HTTP/2 代理回源验收
+
+本项验证的链路是：`Go HTTP/2 客户端 → TLS/h2 → Nginx → TLS/h2 → transport/http2`。客户端与回源两段分别检查协议、TLS 和请求内容；它使用真实 Nginx 进程及生成的测试证书。
+
+Nginx 的 `proxy_http_version 2` 从 1.29.4 起可用，见 [官方配置说明](https://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_http_version)。本次固定使用 1.30.5。原有 `scripts/verifyProxy.py` 和 Nginx 1.27 环境继续用于 native HTTP/1.1 回源验收。
+
+## 运行
+
+在项目根目录执行：
+
+```sh
+python3 scripts/verifyHTTP2Proxy.py --count 3
+python3 scripts/verifyHTTP2Proxy.py --race --count 3 --output performance/http2ProxyRaceLinux.json
+```
+
+需要指定 Go 模块代理时追加 `--goproxy https://goproxy.cn,direct`。普通模式使用 `nginx:1.30.5-alpine`，race 模式使用 `nginx:1.30.5`，以提供 Go race 二进制需要的 glibc 运行环境；使用 `--nginx-image` 覆盖时需自行保持该兼容性。
+
+脚本先在 `golang:1.25` 中执行 vet 并编译测试二进制，清理编译容器后，再在 Nginx 镜像中执行测试。两个阶段顺序运行，每个容器固定限制为 2 核、2 GiB 内存、禁用 swap、256 个进程/线程。整个运行默认 600 秒总时限，单次测试进程还有 120 秒时限。
+
+集成测试容器使用 `--network none`、只读根文件系统和 128 MiB 临时内存目录，没有发布端口。客户端、Nginx 和新旧两个后端都只监听容器内回环地址。超时、SIGTERM、SIGHUP 会清理当前运行拥有的容器；检测到其他 HTTP/2 验收容器运行时，脚本会拒绝开始。
+
+## 验收内容
+
+| 场景 | 必须满足的结果 |
+| --- | --- |
+| 双段 TLS/h2 | 客户端验证代理证书；代理验证源服务器证书和主机名。业务 handler 必须看到 HTTP/2、ALPN h2 和预期 SNI。 |
+| 回源连接复用 | 32 次顺序 POST 仅建立 1 条回源 TLS 连接；每次校验独立 requestId、方法、请求体长度与 SHA-256。 |
+| 证书失败 | 不可信 CA 和错误主机名分别得到 502，均未进入业务 handler；正常路由随后仍可请求成功。 |
+| 超时 | 代理 250 ms 读取超时得到 504，后端请求 context 被取消、活动请求回到 0，后续请求恢复。 |
+| 客户端取消 | 客户端取消后，后端 handler 能退出并释放请求槽位，后续请求恢复。 |
+| GOAWAY 与新旧实例切换 | 旧实例保留一个处理中的 POST；开始 Shutdown 后必须观察到 GOAWAY。随后 20 个独立 POST 进入备用的新实例，旧 POST 释放后仍返回原实例的正确响应。旧实例最终连接/请求归零，业务执行无重复。 |
+
+新旧实例场景使用 Nginx primary/backup 上游与有限重试；测试没有开启 `non_idempotent` 重试。除了检查每次响应，还检查两个实例的实际 handler 次数及重复 requestId，避免重试掩盖重复执行。
+
+本次 Nginx 在超时和取消场景中关闭了相关回源连接，随后重新建连恢复；这里验收的是请求取消与资源回收，不要求代理必须通过 RST_STREAM 保留同一条回源连接。
+
+## 已有结果与边界
+
+2026-09-23，Linux amd64、Go 1.25.14、Nginx 1.30.5：普通模式和 race 模式各连续 3 轮全部通过，共 18 个子场景，无数据竞争。两轮运行后原有 7 个业务容器仍在运行。
+
+- [普通模式报告](../../performance/http2ProxyLinux.json) / [原始日志](../../performance/http2ProxyLinux.txt)
+- [race 报告](../../performance/http2ProxyRaceLinux.json) / [原始日志](../../performance/http2ProxyRaceLinux.txt)
+- [总时限、SIGTERM、SIGHUP 清理实测](../../performance/http2ProxyCleanupLinux.json)
+
+报告记录测试提交、源码 SHA-256、镜像 ID、完整执行命令、结果与日志校验值。它是功能联调，不是代理吞吐基准；使用单进程 Nginx 测试配置，验证后端实例切换，不覆盖 Nginx master/worker 配置重载、公网链路或 Cloudflare 实网部署。`transport/http2` 仍是独立实验适配器，native 的 HTTP/1.1 默认路径保持现状。