Turnstile 与 SPIN 防护

原名：turnstile-spin

为网页接入 Turnstile，并结合 SPIN 处理自动化访问风险。

中文 Skills 技能说明

适合登录、注册、表单和高风险接口的人机校验；要同时检查服务端验证、失败降级、可访问性和隐私告知，不能只在前端判断是否通过。能力依赖用户自己的 Cloudflare 账户、域名和最小权限令牌；中国大陆网络可用性、服务区域、费用与数据路径以用户当前合同和服务规则为准。执行前应读取项目现状和官方文档，输出目标、依据、影响、验证结果与回退方式；没有真实证据时要明确说明未知，不编造配置或成功状态。创建、修改、部署、发布、迁移、删除或产生费用的操作，必须先展示具体目标和差异并获得人工确认。代码、日志、连接串、令牌、客户信息和业务数据按敏感内容处理，只读取任务所需范围，上传或外发前完成授权、脱敏和最小化。安全能力仅用于已授权的防御性审计与加固，不执行攻击利用、凭据获取、未授权扫描或安全控制绕过。

上游能力依据

上游原始适用说明：Set up Cloudflare Turnstile end-to-end in a project. Scan the codebase, create the widget via the Cloudflare API, embed it where user requests need bot verification (form submissions, SPA actions, API endpoints, download links, comment or vote submissions, etc.), wire canonical server-side siteverify in the customer's existing backend, validate, and persist the skill. Load this when a user asks to add Turnstile, set up CAPTCHA, protect a form or endpoint from bots, or fix a Turnstile integration. Mirrors developers.cloudflare.com/turnstile/spin.

上游 SKILL.md 主要章节（保留原文标题）：

When to load this skill
Choose the flow before responding
Conversation flow
Things you must NOT do
Hard scope boundary: DO NOT ask the user about
Existing-widget flow: retrieve and store the secret without chat
The frontend-edit contract
Migrating from another CAPTCHA
Edge cases

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者: Cloudflare, Inc. 与 cloudflare/skills contributors
中文翻译: CEOFans翻译
许可证: Apache-2.0
上游来源: https://github.com/cloudflare/skills/tree/f96bff754e428838818017f75817f0f9428acd48/skills/turnstile-spin

适用范围

平台：linux、macos、windows；标签：安全与合规、Turnstile 与 SPIN 防护

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。