Pull Request 分析报告: PR #42190 - 添加 vLLM FIPS 合规文档

执行摘要

此 PR 在 docs/usage/security.md 中新增了一个关于 FIPS 合规的章节，澄清 vLLM 并非自动符合 FIPS 要求，并提供具体配置指引和依赖说明。Review 中修正了配置变量名不正、网络隔离措辞和 blake3 依赖分类等细节，最终获得维护者 approval。

功能与动机

PR 动机在于提供明确的 FIPS 支持文档，管理运维人员对 vLLM 在 FIPS 合规方面的期望：

"Adding documentation around being explicit about FIPS support for vLLM. This will help temper expectations around what vLLM will prioritize in terms of FIPS compliant deployments."

实现拆解

1. 在 docs/usage/security.md 末尾追加 ## FIPS Compatibility 小节。
2. 声明 vLLM 并非自动 FIPS 合规，合规性取决于主机 OS、OpenSSL 提供者和安装的依赖。
3. 列出三个可配置项：多模态输入哈希（VLLM_MM_HASHER_ALGORITHM）、前缀缓存哈希（--prefix-caching-hash-algo）、TLS 密码套件（--ssl-ciphers）。
4. 解释非安全用途 MD5 的自动回退至 SHA-256，引用 vllm/utils/hashing.py。
5. 详述 blake3 和 xxhash 两个依赖：前者必需但惰性加载，后者可选；给出推荐配置和卸载方法。
6. 提供与外部加密模块（如 mTLS、IPsec）结合的建议。

由于 PR 为纯文档变更，无核心源码改动，故不展示代码片段。

评论区精华

• 配置变量名修正：gemini-code-assist 指出文档未写明前缀缓存哈希的具体配置名称。vrdn-23 修正为 --prefix-caching-hash-algo（高安全优先级）。
• 网络隔离措辞纠正：gemini-code-assist 批评将“隔离网络”列为 FIPS 加密示例不当。vrdn-23 删除并单独说明网络隔离（纵深防御）与 FIPS 加密（mTLS/IPsec）的区别。
• blake3 依赖分类纠正：chatgpt-codex-connector 指出 blake3 实际上是必需依赖，不应标记为可选。vrdn-23 修改描述，明确其当前状态和规避方法。
• 语气调整：russellb 建议不要用“not FIPS compliant”绝对说法。vrdn-23 改为“not automatically FIPS compliant”。

风险与影响

• 风险：文档不准确或过时可能导致用户错误配置，引发合规误解；但 review 已大幅提高准确性。需关注配置项随版本变化。
• 影响：对 FIPS 环境运维人员影响直接，提供了清晰的操作指南；对团队增加文档维护成本，但社区贡献降低了负担。

关联脉络

本 PR 是独立的文档改进，未与特定 Issue 或历史 PR 直接关联，但它为后续可能的 FIPS 兼容功能奠定了基础。相关 Issue #40741 提及的 FIPS 兼容性问题仍在跟踪中。