用途:把一组主机名统一放到Cloudflare Access登录墙后,支持*.workers.dev裸Worker无需自购域名;同一个Access应用可同时提供两条登录路径——开发者用GitHub,非技术员工用邮箱6位验证码(无需注册账号)。未认证请求会302跳转到团队登录页。
使用方式:在项目仓库中按schema/access-spec.schema.json编写access-spec.json(该文件含团队邮箱,放在项目仓库,技能本身不感知);每个账号一次性铸造带Access作用域的令牌,需通过dashboard-forge方式在自动化Chrome中登录Cloudflare后台生成;如需GitHub路径,运行node scripts/gh-oauth-app.mjs --name <app> --callback https://<team>.cloudflareaccess.com/cdn-cgi/access/callback --expect-account <owner> --vault-scope <scope>;随后执行node scripts/setup-access.mjs <spec.json>进行幂等部署(GET-before-POST,可反复重跑,已存在的组织/IdP/应用会被接管而非覆盖);验证用curl -s -o /dev/null -w '%{http_code}' https://<host>/ 预期302,再用服务令牌请求预期200。
设计要点:现场设备类应用可用730小时最长会话避免任务中途重认证;列出人员可能使用的所有身份邮箱;带端到端认证的机器路径不要置于Access之后;Access后的PWA不得缓存重定向或非OK响应;CLI/CI客户端使用服务令牌加non_identity策略;公开站点不属于本技能范围。
限制:账户令牌通常缺少Access作用域且无法自行扩权,需按上述流程重新铸造;验证账户令牌需用/accounts/{id}/tokens/verify;资料未提供具体定价、部署规模上限等其他信息。