bigcode
e2c3c353cf
- 删除 SimCFApi / WMAILHUB_SIM_CF / isRealOAuth / POST /api/oauth/cloudflare/sim/approve - 删除前端 OAuthSim 模拟授权页与 /oauth/sim/authorize 路由;账号页「添加账号」整页跳 Cloudflare - 迁移 0005 删除 cf_sim_resources 表 - 未配置 CF_OAUTH_CLIENT_ID/SECRET 时 start/callback 一律 503(不再降级出假账号假资源) - 修 OAuth 回调端点:跨站重定向不携带 SameSite=Strict 会话 cookie,改为由一次性 state 承担 CSRF 防护 - 测试改用 tests/cf-mock.ts 在 fetch 层拦截 Cloudflare API,断言真实 HTTP 调用(72/72 通过) - 本地 dev 无账号时只拉起 Console 并提示人工授权,不再自动造账号
1.5 KiB
1.5 KiB
Cloudflare OAuth 与自动接入(docs/11 §14)
旧「Add Node」概念已删除,改为 Connect Cloudflare Account。
流程
Console
|
v
Cloudflare OAuth
|
v
用户授权 Account
|
v
Console
+-- 保存 Account
+-- Account / Zone 发现
+-- 配置 Domain(同步账号下全部域名,pending)
+-- 创建 catch-all Mailbox
+-- 部署账号级 Email Worker
+-- 签发 WorkerCredential(secret 注入 Worker 脚本)
用户不需要执行安装命令,也不手工创建 API Token。
安全
- Cloudflare credential(OAuth access token)AES-GCM 加密存储,不进入前端和日志。
- OAuth state 一次性(用后即删)、5 分钟过期、绑定账号(CSRF 防护)。
- 授权回调不校验会话:浏览器从
dash.cloudflare.com跳回 Console 属于跨站顶级导航,SameSite=Strict的会话 cookie 不会携带;该端点由一次性 state 承担 CSRF 防护,其余/api/oauth/*仍要求登录。 - Account ownership 以 token 实际可访问的 accounts 为准。
- 安装过程幂等,重复执行不产生重复资源。
- Worker credential 与 Cloudflare credential 分离;轮换 credential 后已配置域名自动重新部署。
前置条件
CF_OAUTH_CLIENT_ID 与 CF_OAUTH_CLIENT_SECRET 必须配置,否则 /api/oauth/cloudflare/start 与
/api/oauth/cloudflare/callback 一律返回 503 —— 系统不提供任何模拟/降级通道,
不会出现"看起来接入成功"的假账号与假资源。