返回目录 / 安全
Turnstile接入：先确认站点模式，再验证服务端token
按managed、non-interactive或invisible目标走官方脚手架，并建立可复现测试。
Skills
先确认framework、域名、环境和widget模式；读取源仓库reference，运行受支持脚本前审阅其动作与依赖，不自动安装或创建widget。若需创建account widget，展示hostname、mode及资源影响并取得明确批准。实现时从浏览器传challenge token至应用服务端，再由服务端用secret调用官方Siteverify endpoint并处理success/error；绝不把secret放前端。按source测试helper运行测试并检查结果，结合项目本身测试确认阻断无效token、允许有效token；部署前再次核对hostname和生产secret配置。
权限边界
前置条件
- 为网站接入Cloudflare Turnstile：选widget模式、配置key、实现前后端验证并测试。
权限边界
- 创建widget会修改账户资源；站点会收集挑战响应并向Siteverify发token验证请求。
限制
不得自动创建/安装widget；先确认域名/环境和用户批准。Siteverify必须服务端执行，secret不可暴露。
固定上游来源
- 仓库
- cloudflare/skills
- 文件路径
- skills/turnstile-spin/SKILL.md
- 固定提交
53395984c3ea1925d00fce03b266112302f050e6- 来源检查
- 2026-10-14 · 已按固定上游来源核对
仓库指标
以下数字属于上游仓库整体，不代表单个 Skill 或指南的点赞/热度。
- Stars
- 未取得
- Forks
- 未取得
- 观测时间
- 未取得
尚未取得指标快照。
许可证: Apache-2.0
适用工具
Turnstile dashboard/API · Siteverify API · framework test runner