签名
Team ID 加 Signing ID。临时签名没有 Team ID，命不中只写了 Team ID 的规则。
匹配
文件名不是身份。
放行键是 Team ID、Signing ID、cdhash、域名和端口。完整路径可以写上，但必须和 cdhash 一起命中。
cdhash
做决定时从这条流的 audit token 现读。不使用进程启动时缓存的路径哈希。换掉同路径上的文件，哈希就变了。
整条路径
逐段相等，不是文件名，不是前缀。另一个目录里的同名程序对不上。
判定和转发是同一条流。
只放行域名、不写端口，这个域名上的其他端口会一起通。DNS 之后如果换成另一个地址再连，这一跳也不算命中。接入点只拨快照里的上游，不用客户端后来解析出来的 IP。
Swift 不比较这些字段。比较发生在 Go。扩展进程里不嵌入 Go 运行时。