用途：为受保护服务配置 Cloudflare Access 身份验证，使用 Google OAuth 作为身份提供方，实现远程访问的登录保护。
主要能力：检查 .env 中的 OAuth 凭据；在凭据缺失时提供 Google Cloud Console 配置指引；运行 cf-access-setup.sh 自动完成身份提供方配置、为受保护服务创建 Access 应用、为授权用户创建允许策略、为 webhook 创建绕过策略；列出已配置应用；测试 Google 登录流程；提供访问日志入口。
使用方式：先验证前置条件，命令为 ./scripts/cf-access-setup.sh list；若缺少 OAuth 凭据，先配置 .env，再运行 ./scripts/cf-access-setup.sh setup。脚本幂等，可重复运行。测试时用无痕窗口访问受保护域名，应跳转 Google 登录；webhook 绕过可用 curl -I https://webhook.temet.ai/hooks/health 验证。访问日志在 https://one.dash.cloudflare.com 的 Logs -> Access 查看。
适用场景：首次搭建基础设施、新增需保护的服务、调试 Access Denied 或 OAuth 重定向错误、远程访问受保护服务。
限制与要求：需在 .env 中提供 GOOGLE_OAUTH_CLIENT_ID、GOOGLE_OAUTH_CLIENT_SECRET、ACCESS_ALLOWED_EMAIL、CLOUDFLARE_ACCESS_API_TOKEN、CLOUDFLARE_ACCOUNT_ID、CLOUDFLARE_TEAM_NAME；API 令牌需具备 Zero Trust 编辑、Access 应用与策略编辑、身份提供方与组编辑权限。OAuth 重定向 URI 必须精确匹配 https://temetai.cloudflareaccess.com/cdn-cgi/access/callback。默认会话时长 24 小时。本地网络访问绕过 Access，仅远程访问需要认证。若 Pi-hole 拦截 Google 域名可能影响 OAuth，需加白名单。资料未提供价格、平台支持范围及具体效果数据。