用途：让智能体安全地检查和修改 Cloudflare 账户（DNS 记录、WAF 自定义规则、Bot 设置、重定向、转换、缓存、页面规则等）。核心原则是“读随意、改需人审”，并把 Cloudflare 当成生产数据库对待。
凭据与运行：脚本需要 Node.js 18 及以上，Linux、macOS、Windows 通用。凭据位于 ~/.config/cloudflare/tokens.env（或 CLOUDFLARE_TOKENS_FILE 指定路径）。可检查文件是否存在，但绝不打开、打印、搜索、复制或编辑，也不要求用户粘贴令牌；如用户误贴，应提示其在仪表板吊销并新建。文件缺失或令牌被拒时，让用户在自己的终端运行 node "<skill-dir>/scripts/setup-tokens.mjs"，不要代为运行。
读取：node "<skill-dir>/scripts/cf-read.mjs" <api-path>，路径为 api.cloudflare.com/client/v4/ 之后的内容并加引号；verify 校验令牌；'zones?name=example.com' 查 zone ID；{account_id} 自动填充；graphql 可做分析查询；列表分页需读 result_info。读取无需批准，未知路径查官方 API 参考，不要猜测。
变更：默认无写令牌，不应鼓励用户添加。流程为读取现状、提议（当前值与新值、影响流量、回滚方式）、移交仪表板链接、事后复查并测试效果。若用户存了写令牌，变更需暂存为 cf-changes/ 下 JSON 文件，请求用户回复 approved 后才可用 cf-apply.mjs 应用，一次批准仅对应一个变更文件。
限制：即使是批准后，也不得创建/修改/删除 API 令牌、删除或暂停 zone、改域名服务器、添加 zone、管理账户成员与计费、Cloudflare Access 应用与策略、一次性移除整个规则集，或单次改动超过 5 条 DNS 记录。提案规则前需核对套餐限额与现有规则顺序，注意字符串比较区分大小写。