Cloudflare OAuth 创建 Zone：授权流程与权限说明

OAuth 模式让用户在 Cloudflare 授权页确认权限，工具拿到短期 access token 后调用 Cloudflare API 创建 Zone，避免用户手动复制长期 API Token。

最后更新：

Cloudflare OAuth 创建 Zone 的流程

OAuth 把账号登录和授权确认交给 Cloudflare 官方页面完成，工具不需要让用户复制长期凭据。一次完整授权包含以下步骤：

  1. 点击工具首页的 Cloudflare 授权按钮，跳转到 Cloudflare 官方授权页。
  2. 登录并确认授权范围，Cloudflare 将一次性授权码返回本站 /oauth/callback。
  3. Worker 在服务端交换 access token，并用加密的会话 Cookie 维持登录状态。
  4. 创建 Zone 时优先使用 OAuth access token，令牌过期后再通过 refresh token 刷新。

当前申请的权限

工具当前 OAuth scope 包含 zone.write、dns.write 和 offline_access。zone.write 用于创建和管理 Zone，dns.write 用于读取 DNS 配置和批量套用模板，offline_access 用于刷新访问令牌。

OAuth 与 API Token 怎么选

面向普通用户时优先使用 OAuth：权限在 Cloudflare 页面展示，并可在账号中撤销授权。API Token 只作为高级兜底方式，适合 OAuth 暂不可用或自动化测试；不要使用 Global API Key。

令牌和会话的安全边界

OAuth access token 不会展示在页面输入框里。会话使用 AES-GCM 加密的 HttpOnly、Secure、SameSite=Lax Cookie 保存，浏览器脚本无法读取，令牌内容也不会以明文出现在 Cookie 中；登录状态最长保留 90 天。退出工具会清除本地会话，彻底终止授权还需要在 Cloudflare 账号中撤销该 OAuth 应用。

授权失败如何排查

先确认 OAuth Client 为可用状态，redirect URI 精确填写 https://cloudflare.chatgpt.org.uk/oauth/callback，并检查 client_id、client_secret 和 SESSION_SECRET 是否已配置为 Worker Secret。redirect URI 的协议、域名、路径或尾斜杠任一不一致都可能导致回调失败。

在浏览器中连接 Cloudflare 即可使用，无需安装。

打开域名工作台

常见问题

OAuth 授权后还需要 API Token 吗？

正常情况下不需要。API Token 只是高级兜底方案，用于 OAuth 暂不可用或测试时临时使用。

Cloudflare OAuth 需要哪些 scope？

当前工具申请 zone.write、dns.write 和 offline_access，分别用于 Zone 操作、DNS 写入能力和刷新访问令牌。

redirect URI 应该填写什么？

应精确填写 https://cloudflare.chatgpt.org.uk/oauth/callback，不要增加尾斜杠或改用其他域名。

如何彻底撤销授权？

先退出工具会话，再到 Cloudflare 账号的授权应用管理中撤销 域名工作台。

相关内容