用途：为自动化脚本、监控系统和 CI/CD 提供非人类访问凭据，绕过 Cloudflare Access 的 Google OAuth 要求，直接访问受保护服务。
主要能力：说明服务令牌与 OAuth 的区别；引导在 Cloudflare 仪表盘创建令牌；将凭据写入 .env；用 curl 或辅助脚本测试访问；撤销/轮换令牌；在 Access 日志中监控使用情况。
使用方式：在 https://one.dash.cloudflare.com 的 Access → Service Auth → Service Tokens 创建令牌，客户端密钥仅显示一次需立即保存。将 CF_SERVICE_TOKEN_CLIENT_ID 与 CF_SERVICE_TOKEN_CLIENT_SECRET 写入 .env，然后测试： curl -H "CF-Access-Client-Id: ${CF_SERVICE_TOKEN_CLIENT_ID}" -H "CF-Access-Client-Secret: ${CF_SERVICE_TOKEN_CLIENT_SECRET}" https://jaeger.temet.ai 也可用辅助脚本：scripts/cf-service-token.sh test jaeger.temet.ai，支持 list、delete 等子命令。
适用场景：自动化健康检查、CI/CD 部署验证、监控脚本、与 Claude 共享验证结果。人类浏览器访问仍应使用 OAuth。
限制：令牌自动绕过所有 Access 策略，不支持 MFA；撤销后立即失效无宽限期；需 Cloudflare Zero Trust 账户、管理员权限、可写 .env 及 curl；日志保留 30 天至 6 个月。切勿公开或提交令牌，建议按系统分离令牌并定期轮换。