wangjia
7d89ec9d91
- domains.md: 四组域名隔离登记 + 冷备池 ≥5 + 启用流程（不含身份信息） - cdn/terraform: Cloudflare 配置即代码（WAF/bot/速率限制/代理DNS/回源鉴权注入）+ 30min 重放 Runbook - server/internal/originauth: 回源鉴权中间件，非 CDN 网段或鉴权头不符一律 403，支持双值轮换 - tools/endpoint-signer: 离线 Ed25519 签名 CLI（端点 + 公告文档，单调版本防回滚，key_id 双公钥轮换） - tools/publish-mirrors: ≥3 镜像发布 + hash 一致性校验 + 故障转移取回 - CLIENT-CONTRACT.md: schema/验签/防回滚/合并/兜底链/channel 客户端契约 - 出站独立出口要求写入部署文档；私钥/token/身份信息一律不入库 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
CDN 前置（Cloudflare）配置即代码
把一个域名在 30 分钟内接到 Cloudflare 之后：WAF + bot 管理 + 速率限制全开、DNS 代理回源、回源鉴权 header 注入。对应 doc/05 §2 与 §5「CDN 账号风险」Runbook。
资源清单
| 文件 | 资源 | 作用 |
|---|---|---|
versions.tf |
provider | 锁 cloudflare ~> 4.40；token 走 CLOUDFLARE_API_TOKEN 环境变量 |
settings.tf |
cloudflare_zone_settings_override |
TLS1.3 / SSL strict / HSTS / 高安全级 |
dns.tf |
cloudflare_record |
代理（橙云）A 记录，隐藏源站 IP |
waf.tf |
cloudflare_ruleset ×2 + cloudflare_bot_management |
Managed+OWASP WAF、/v1/* 速率限制、Bot 管理 |
origin.tf |
cloudflare_ruleset（late_transform） |
回源注入 X-Origin-Auth |
outputs.tf |
— | 代理后的主机名清单 |
绝不入库的东西
- API token：
export CLOUDFLARE_API_TOKEN=...（本机由 rbw 取；CI 由 Secret 注入）。 - 回源鉴权值：
export TF_VAR_origin_auth_value=...。 terraform.tfvars、*.tfstate、.terraform/：均 gitignore。
30 分钟重放流程（CDN 账号风险应急）
目标：旧 CDN 账号被封 / 要求实名时，在新账号 + 新（或同）域名上 30 分钟内重建全部防护并切流量。
# 0. 准备（离线已存）：新账号 API token、zone_id、account_id、origin_ip、回源鉴权值
export CLOUDFLARE_API_TOKEN=... # 新账号 token（rbw get）
export TF_VAR_origin_auth_value=... # 当前回源鉴权值
cd infra/domains/cdn/terraform
cp terraform.tfvars.example terraform.tfvars # 填 zone_id/account_id/origin_ip/api_hostnames
# 1. 初始化 + 计划 + 应用（首次约 3–8 分钟）
terraform init
terraform plan -out tf.plan
terraform apply tf.plan
# 2. 在新账号把域名 NS 指过去（注册商处改 NS），等待生效
# 用多镜像签名端点更新把新 API 域名/镜像下发给客户端（见 ../../tools）
# 3. 验证回源鉴权（应 200）与直连源站（应 403，见 server/internal/originauth）
把每次重放的实测耗时记到本目录 REPLAY-LOG.md（验收要求 ≤30min）。
注意
cloudflare_bot_management需要账号套餐支持（Pro+/Bot Management），免费账号把enable_bot_management=false，改用面板 Bot Fight Mode。- WAF managed ruleset 的
id为 Cloudflare 公开稳定 ID（Managed / OWASP）。 - 本目录无法在本仓库 CI 内
apply（需真实账号）；提交前至少terraform fmt -check && terraform validate。