用途：对一台运行 cloudflared 守护进程的 Linux 主机（或声明它的配置即代码仓库）做安全审计，按优先级覆盖八个领域。
主要能力：发现并分类守护进程运行模式（token 模式 vs config.yml 配置文件模式）；检查身份材料暴露（unit 文件中的 tunnel token、credentials JSON、账户级 cert.pem 的权限与位置）；审查 ingress 规则表（hostname→service 映射、末尾 catch-all 是否为 http_status:404、路径路由、指向 LAN IP 的源站目标、noTLSVerify、unix socket）；检查源站绑定纪律（应用是否仅绑定 127.0.0.1、容器端口是否被发布、防火墙是否仍默认拒绝）；清点边缘层控制（WAF、限流、Bot Fight、Zero Trust Access、Service Token、mTLS 源站拉取，这些仅在控制台配置，须以访谈方式记录）；检查真实访客 IP 处理（nginx、uvicorn/gunicorn、Express、Django、Rails 等是否仅信任 Cloudflare/cloudflared 代理地址）；核查出站要求（UDP/7844 QUIC 与 TCP/443 回退是否放行）；运维卫生（自动更新权衡、metrics 端点绑定、日志泄漏、多隧道、单副本可用性风险、容器化变体）。
使用方式：所有检查命令均为只读，优先采用有效状态证据（ss -tlnp、systemctl cat、stat）；需要 root 的命令标注 [ROOT]。无 root 时审计全局可读状态与配置仓库，并依据模式与签名判断渲染后的配置。命令与检查表示例因篇幅未在此完整列出，请见原文。
限制：控制台侧设置无法从主机验证，只能报告为“已确认/未确认——访谈”，不得猜测。tunnel token 是实时密钥，展示 unit 内容或日志时必须经脱敏过滤，绝不在报告中复制原始 token、TunnelSecret 或 credentials JSON 内容；重启 cloudflared 会影响服务，仅在明确批准后提出。防火墙设计、token 生命周期、TLS 终止、应用层授权、供应链与 Linux 基线等属于范围外，另见对应模块。具体版本、价格、平台或效果等资料暂未提供。