Cloudflare changelogs

Agents - Agents SDK 包支持 AI SDK v6 和 v7

Thu, 23 Jul 2026 00:00:00 GMT

agents、@cloudflare/ai-chat、@cloudflare/codemode 和 @cloudflare/think 包现在支持 AI SDK v6 和 v7。现有应用程序在更新这些包时可以保留在 v6 版本。应用程序也可以采用 v7，而无需更改它们使用的 Cloudflare Agents API。

支持的同级依赖范围是 ai@^6 || ^7 和 @ai-sdk/react@^3 || ^4。请使用相匹配的主版本：将 AI SDK v6 与 @ai-sdk/react v3 配对，或将 AI SDK v7 与 @ai-sdk/react v4 配对。

要安装包含 AI SDK v7 的最新包：

npm i agents@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/think@latest ai@^7 @ai-sdk/react@^4

yarn add agents@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/think@latest ai@^7 @ai-sdk/react@^4

pnpm add agents@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/think@latest ai@^7 @ai-sdk/react@^4

bun add agents@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/think@latest ai@^7 @ai-sdk/react@^4

Think 会规范化两个 AI SDK 版本的流式传输、工具完成事件和遥测数据。现有的 v6 应用程序在更新 Think 之前无需迁移这些集成。

有关设置和使用的详细信息，请参阅 Think 文档。

Agents, Workers - Agents SDK 减少了 MCP Schema 转换，为 Think 中的 MCP 添加了暴露控制，并且 Code Mode SDK 添加了直接的主机 API

Wed, 22 Jul 2026 00:00:00 GMT

此版本减少了重复的 MCP schema 转换，并为 Think 的自动 MCP 工具暴露添加了选择停用（opt-out）机制。它还允许非 AI-SDK 主机直接调用持久的 Code Mode 运行时。

控制 Think 中直接的 MCP 工具暴露

现在，当实时连接保持相同的工具目录时，Agents SDK MCP 客户端会重用已转换的输入和输出 schema。这避免了在每个模型轮次中再次将每个 MCP JSON Schema 转换为 Zod。

@cloudflare/think 还添加了 includeMcpTools。当您通过 Code Mode 或 Think 自动工具集之外的其他机制暴露 MCP 工具时，可将其设置为 false：

import { Think } from "@cloudflare/think";

export class MyAgent extends Think {
	includeMcpTools = false;
	waitForMcpConnections = true;
}

import { Think } from "@cloudflare/think";

export class MyAgent extends Think<Env> {
	includeMcpTools = false;
	waitForMcpConnections = true;
}

此设置将跳过 Think 的自动 getAITools() 调用。MCP 注册、恢复、发现、原始目录访问、直接调用和 Code Mode 连接器仍然正常工作。

当您只需要原始 MCP 目录时，请使用 listTools()。对于连接器设置，请参阅在 Code Mode 中使用 MCP 工具。

无需 AI SDK 即可调用 Code Mode 运行时

@cloudflare/codemode@latest 在持久的运行时句柄中添加了 execute()、search() 和 describe()。MCP 服务器和其他主机现在可以执行代码并发现连接器方法，而无需将运行时适配到 AI SDK 工具。

const matches = await runtime.search("create issue");
const docs = await runtime.describe(matches.results[0].path);
const outcome = await runtime.execute({
	code: `async () => github.create_issue({ title: "Bug" })`,
});

const matches = await runtime.search("create issue");
const docs = await runtime.describe(matches.results[0].path);
const outcome = await runtime.execute({
	code: `async () => github.create_issue({ title: "Bug" })`,
});

搜索和描述结果为受保护的连接器方法包含 requiresApproval: true。使用现有的 approve() 和 reject() 方法可以恢复处于暂停状态的执行。

有关设置和确切的方法类型，请参阅创建持久 Code Mode 运行时和 Code Mode API 参考。

升级

npm i agents@latest @cloudflare/think@latest @cloudflare/codemode@latest

yarn add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest

pnpm add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest

bun add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.6.880.0)

Tue, 21 Jul 2026 16:55:55 GMT

A new GA release for the Windows Cloudflare One Client is now available on the stable releases downloads page.

This hotfix resolves a regression that caused a large increase in DNS-over-TCP queries to fallback and internal DNS servers. The client now sends fallback DNS queries over UDP first, falling back to TCP only when a response is truncated, instead of querying both protocols in parallel.

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.6.880.0)

Tue, 21 Jul 2026 16:55:55 GMT

A new GA release for the macOS Cloudflare One Client is now available on the stable releases downloads page.

Cloudflare One Client - Cloudflare One Client for Linux (version 2026.6.880.0)

Tue, 21 Jul 2026 16:50:41 GMT

A new GA release for the Linux Cloudflare One Client is now available on the stable releases downloads page.

Cloudflare Fundamentals - 账户角色 API 已弃用

Tue, 21 Jul 2026 00:00:00 GMT

账户角色 API (Account Roles API) 已弃用，并且正在被权限组 API (Permission Groups API) 取代。目前尚未确定生命周期结束日期。

您需要执行的操作

查看权限组 API 文档；响应模式与旧版角色 (Roles) 响应不同。

亮点

迁移到权限组 API 的集成必须从该 API 获取权限组 ID，并在账户成员 API (Account Members API) 策略请求结构中使用它们。保留旧版角色 ID 的集成需要重新映射其分配。
旧版 Role 响应包含顶级 description 以及由资源类型键控并带有 edit/read 标志的 permissions 对象。
PermissionGroup 响应将这些替换为包含 label 和 scopes 的 meta 对象。各个权限不作为权限组的一部分返回。
新的 API 支持 API Token 授权方案。提供旧版 Email + API Key 授权方案以实现向后兼容。

有关更多信息，请参阅 API 已弃用项目。

Sandbox SDK - 使用 Devin Outposts 在 Cloudflare 上运行 Devin

Tue, 21 Jul 2026 00:00:00 GMT

Devin Outposts ↗ 允许您在 Cloudflare 上运行 Devin Agent。每个 Devin 会话在由 Cloudflare Containers 支持的独立沙箱中运行，因此 Agent 可以在隔离环境中执行代码并使用开发工具。

当您希望 Devin 会话在 Cloudflare 托管的基础设施上运行，且每个会话相互隔离时，请使用 Devin Outposts。

如需快速入门，请参阅使用 Devin Outposts 在 Cloudflare 上运行 Devin。

WAF - WAF 发布 - 2026-07-21

Tue, 21 Jul 2026 00:00:00 GMT

此版本引入了针对 Adobe ColdFusion、Next.js、WordPress 中漏洞的新规则，并更新了现有规则，从而针对服务端请求伪造 (SSRF)、本地文件包含 (LFI) 和跨站脚本 (XSS) 提供了增强的通用防护。

针对 Next.js 漏洞的 WAF 和框架适配器缓解措施

Next.js 团队在 2026 年 7 月的安全版本中披露并修复了多个安全漏洞 ↗。这些漏洞包括各种严重程度的拒绝服务、中间件和代理绕过、服务端请求伪造、信息泄露和缓存污染。

披露的几个漏洞无法在 WAF 层进行阻断，我们强烈建议您立即更新应用程序及其依赖项。已修补的版本可通过 v16.2.11 (Active LTS) 和 v15.5.21 (Maintenance LTS) 获取，以解决这些问题。

公告	CVE	严重程度	问题	WAF 覆盖范围
App Router 中使用 Server Actions 的拒绝服务	CVE-2026-64641	高	针对至少使用了一个 Server Action 的 App Router 的 Next.js 应用程序的精心设计的请求可能会导致 CPU 使用率过高。该 CPU 使用率会阻止在同一进程中处理进一步的请求，从而导致拒绝服务。	已部署 WAF 规则 Next.js - DoS - CVE-2026-64641（）以提供覆盖。
使用 Turbopack 和单语言环境的 App Router 应用程序中的中间件 / 代理绕过	CVE-2026-64642	高	使用 App Router 并通过 Turbopack 构建，且在 config.i18n.locales 中包含单个条目的 Next.js 应用程序容易受到中间件/代理绕过的影响。因此，中间件/代理可能执行的任何身份验证或安全检查都将被绕过。	这是一个中间件绕过，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。
重写中由于攻击者控制的目标主机名导致的服务端请求伪造	CVE-2026-64645	高	从请求控制的输入中构建其外部目标主机名的 rewrites() 或 redirects() 规则可以指向任意主机名，而不管规则的主机名后缀如何。对于重写，这种行为会启用服务端请求伪造 (SSRF)；对于重定向，可以实现开放重定向。	现有的 SSRF 规则为该漏洞提供了足够的覆盖，因此未开发量身定制的 WAF 规则。
自定义服务器上 Server Actions 中的服务端请求伪造	CVE-2026-64649	高	当 Server Action 转发或重定向请求时，攻击者可能会导致服务器将该出站请求发送到恶意主机（服务端请求伪造）。这需要攻击者的请求能够控制与 Host 相关的标头。	已部署 WAF 规则 Next.js - SSRF - CVE-2026-64649（）以提供覆盖。
使用 SVG 的图像优化 API 中的拒绝服务	CVE-2026-64644	中	在使用默认图像加载器自行托管 Next.js 时，如果进行了配置（默认情况下不启用），图像优化 API 可以优化远程托管的图像。如果这些图像包含恶意内容，这些图像可能会导致 /_next/image 端点中的 CPU 耗尽。	遗憾的是，恶意请求与合法的图像优化请求无法区分，因此没有创建 WAF 规则来解决该漏洞。
Edge 运行时中无限制的 Server Action 有效负载	CVE-2026-64646	中	精心设计的请求可能会导致 Edge 运行时中 Server Actions 的内存消耗。使用 App Router 并且具有至少一个 Server Action 的 Next.js 应用程序将受到影响。	遗憾的是，没有一个万能的规则可以通过 WAF 部署来代替自定义的 bodySizeLimit 配置，因此没有创建 WAF 规则来解决此漏洞。
内部服务器函数端点的未经身份验证的泄露	CVE-2026-64643	中	在使用 App Router 的 Next.js 应用程序中，Server Actions（use server）或 use cache 端点 ID 可能会被全局泄露。攻击者可以利用这一点进行侦察，并将其作为更广泛攻击链的一部分。	已部署 WAF 规则 Next.js - Information Disclosure - CVE-2026-64643（）以提供覆盖。
带有请求体的请求在响应体方面的缓存混淆	CVE-2026-64648	中	带有请求体的服务端 fetch 可能会从针对相同 URL 但请求体不同的不同请求返回缓存的响应体。这仅适用于形状为 fetch(new Request(init), aDifferentInit) 的 fetch 调用。	这是一个应用逻辑 bug，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。
包含无效 UTF-8 字节序列的请求体的请求在响应体方面的缓存混淆	CVE-2026-64647	中	带有请求体的服务端 fetch 可能会从针对相同 URL 但请求体不同的不同请求返回缓存的响应体。这仅在接收包含无效 UTF-8 字符的请求体时适用。	这是一个应用逻辑 bug，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。

主要发现

CVE-2026-48276: Adobe ColdFusion 文件上传机制中的路径遍历漏洞允许未经身份验证的攻击者将文件写入或上传到源服务器上指定目录之外的任意位置。
CVE-2026-48282: Adobe ColdFusion 中的路径遍历漏洞使未经身份验证的攻击者能够操纵目录序列并访问主机文件系统上的受限系统文件。
CVE-2026-60137: 影响 WordPress 的未经身份验证的 SQL 注入漏洞。威胁活动者利用未清理的输入参数执行任意 SQL 查询，从而导致未经授权的数据库访问、记录操作或数据外泄。
CVE-2026-63030: 影响 WordPress 核心和插件组件的远程代码执行漏洞。远程、未经身份验证的攻击者可以执行任意 system 命令，以获得未经授权的访问或在主机服务器上建立后门。

规则集	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集	无	SSRF - Restricted Protocol	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	SSRF - Obfuscated Host	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	LFI - Path Traversal	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	Adobe ColdFusion - File Upload Path Traversal - CVE:CVE-2026-48276	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	Adobe ColdFusion - Path Traversal - CVE:CVE-2026-48282	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	XSS — JS Bracket Concat Obfuscation - Body	记录	已禁用	这是新的检测。
Cloudflare 托管规则集	无	XSS — JS Bracket Concat Obfuscation - Headers	记录	已禁用	这是新的检测。
Cloudflare 托管规则集	无	XSS — JS Bracket Concat Obfuscation - URI	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	Wordpress - SQL Injection - CVE:CVE-2026-60137	无	阻断	此前被标记为 Generic Rules - SQLi。
Cloudflare 托管规则集	无	Wordpress - Remote Code Execution - CVE:CVE-2026-63030	无	阻断	此前被标记为 Generic Rules - Unauthenticated RCE。
Cloudflare 免费规则集	无	Wordpress - SQL Injection - CVE:CVE-2026-60137	无	阻断	此前被标记为 Generic Rules - SQLi。
Cloudflare 免费规则集	无	Wordpress - Remote Code Execution - CVE:CVE-2026-63030	无	阻断	此前被标记为 Generic Rules - Unauthenticated RCE。
Cloudflare 托管规则集	无	Next.js - Information Disclosure - CVE-2026-64643	无	阻断	此前被标记为 Generic Rules - Information Disclosure。
Cloudflare 托管规则集	无	Next.js - SSRF - CVE-2026-64649	无	阻断	此前被标记为 Generic Rules - Auth Bypass - 2。
Cloudflare 托管规则集	无	Next.js - Remote Code Execution - Cache Components	无	阻断	此前被标记为 Generic Rules - RCE。
Cloudflare 托管规则集	无	Next.js - DoS - CVE-2026-64641	无	阻断	此前被标记为 Generic Rules - DoS。
Cloudflare 托管规则集	无	Generic Rules - Command Execution - Body - Beta	已禁用	-	此检测已被移除。
Cloudflare 托管规则集	无	Generic Rules - Command Execution - Header - Beta	已禁用	-	此检测已被移除。
Cloudflare 托管规则集	无	Generic Rules - Command Execution - URI - Beta	已禁用	-	此检测已被移除。

WAF - WAF 发布 - 2026-07-27 的计划变更

Tue, 21 Jul 2026 00:00:00 GMT

公告日期	发布日期	发布行为	旧版规则 ID	描述	注释
2026-07-21	2026-07-27	记录	无	SSRF - Cloud - Beta	这是一个改进的检测。
2026-07-21	2026-07-27	记录	无	Command Injection - Obfuscation	这是新的检测。
2026-07-23	2026-07-27	记录	无	Alibaba Fastjson JSONType Remote Code Execution - Body	这是新的检测。

Access - 针对明文 HTTP 私有应用程序的基于浏览器的登录

Mon, 20 Jul 2026 00:00:00 GMT

Cloudflare Access 现在对通过端口 80 上的明文 HTTP 提供服务的私有应用程序使用标准的基于浏览器的登录流程。

以前，明文 HTTP 私有应用程序会回退到与 SSH、RDP 和其他非 HTTP 协议相同的会话流程：用户会从 Cloudflare One Client 收到一个“需要身份验证（Authentication required）”弹窗，然后必须选择该通知以打开浏览器并登录。现在，访问 HTTP 私有应用程序的用户会直接在浏览器中看到 Access 登录页面，并在成功后收到标准的 Access 应用程序令牌（application token）。

这使得 HTTP 体验与 HTTPS 应用程序（开启了 Gateway TLS 解密）保持一致。无需更改配置。仍然需要 Cloudflare One Client 将流量路由到私有网络，但它不再管理 HTTP 应用程序的 Access 会话。

其他非 HTTP 协议（SSH、RDP、任意 TCP/UDP）继续使用 Cloudflare One Client 通知流程。

Billing, Workers - 预算提醒现在默认为按需付费账户开启

Mon, 20 Jul 2026 00:00:00 GMT

我们正在为符合条件的按需付费账户默认开启预算提醒。如果您的账户尚未设置预算提醒，Cloudflare 将为您创建一个账户级别阈值为 $10 的提醒。您的默认提醒将在下一个计费周期开始时启用，因此不会基于您已产生的使用量触发。

我们将在未来几周内分批推出，因此符合条件的账户可能会在不同时间看到其默认提醒出现。

默认提醒的行为与您自行创建的提醒完全相同。当您本计费周期的累计基于使用量的支出达到阈值时，您将收到一封电子邮件通知。该提醒仅供参考，不会限制您的使用量，也不会对您的账户产生任何影响。

使用量每天处理一次，计算前一天的活动，因此预算提醒会在达到阈值后的次日触发，而非实时触发。

预算提醒仅考虑基于使用量的产品支出。定期订阅费用（例如 Workers Paid 计划费用或其他月度计划费用）不包含在阈值计算中。

您可以从 Manage Account（管理账户） > Billing（计费） > **Billable Usage（计费使用量）**或通知设置中更改阈值、添加其他提醒或完全移除默认提醒。如果您已配置自己的预算提醒，则不会有任何变化。

企业合约账户不在此范围内。

如需更多信息，请参阅预算提醒文档。

Durable Objects, Workers - 查看 Durable Object 命名空间的总 SQLite 存储指标

Mon, 20 Jul 2026 00:00:00 GMT

现在，您可以在 Cloudflare 仪表板中监控 Durable Object 命名空间随时间变化所使用的 SQLite 总存储量。全新的总存储图表显示了每小时报告的最大存储量。这有助于您识别存储增长、验证数据清理并调查异常使用情况。

Go to Durable Objects ↗

该图表仅适用于基于 SQLite 的 Durable Object 命名空间。对于使用旧版键值存储后端的命名空间，它不会显示。不支持按 ID 或名称查看单个 Durable Object 的存储量。

欲了解更多信息，请参阅指标和分析。

Email Service - 在 Activity 记录中预览已发送的电子邮件

Fri, 17 Jul 2026 00:00:00 GMT

您现在可以直接从 Email Service Activity 记录中预览已发送电子邮件的内容。展开已发送的电子邮件，然后打开全新的 Preview（预览） 部分，通过呈现的 HTML 正文、Text（文本） 正文、Headers（标头）、Attachments（附件） 以及完整的 Raw（原始） RFC 5322 ↗ 源码标签页，检查发送出去的邮件。

此前，Activity 记录仅显示递送和身份验证的元数据，而不显示邮件内容，这使得渲染和内容问题难以调试。邮件预览功能弥补了这一空白。

要启用邮件预览功能，请在您发送域的设置中开启 Email preview（邮件预览）。预览范围包括在开启此设置期间发送的邮件，预览内容将保留大约七天。在 2026 年 7 月 2 日或之后接入的发送域将自动开启 Email preview（邮件预览）。

有关详细信息，请参阅电子邮件日志。

Gateway - Gateway HTTP 策略的新请求头控制选项

Fri, 17 Jul 2026 00:00:00 GMT

Cloudflare Gateway 现在支持在允许策略上进行高级请求头控制。管理员可以使用静态值或动态变量来添加、重写或删除匹配请求上的请求头。

请求头操作

使用“允许”（Allow）操作的 Gateway HTTP 策略在 rule_settings 中支持三种操作：

操作	API 字段	行为
添加	`add_headers`	向请求头追加值。保留现有值。
重写	`set_headers`	替换请求头的值。如果请求头不存在，则创建它。
删除	`delete_headers`	从请求中移除该请求头。

Gateway 按以下顺序应用操作：首先删除，然后重写，最后添加。

动态变量

请求头的值可以包含使用 @{...} 语法的动态变量。Gateway 会在请求时根据身份、设备和网络上下文解析变量。

变量	说明
`@{identity.email}`	来自身份提供商的用户电子邮件
`@{identity.name}`	来自身份提供商的用户显示名称
`@{identity.id}`	Cloudflare 身份 UUID
`@{identity.groups}`	身份提供商群组成员身份
`@{identity.SAML}`	SAML 属性（如果配置了）
`@{identity.OIDC}`	OIDC 声明（如果配置了）
`@{source.ip}`	连接的源 IP
`@{destination.ip}`	请求的目的 IP
`@{device.id}`	Cloudflare One 客户端设备 UUID
`@{device.posture}`	设备状态检查结果（JSON 字符串）

您可以在单个请求头值中混合使用静态文本和动态变量。例如，user-@{identity.email} 会解析为 user-jdoe@example.com。

有关更多信息，请参阅自定义请求头。

Cloudflare Fundamentals, Organizations - Distributor、MSSP 和 Agency 合作伙伴可以直接管理组织成员

Fri, 17 Jul 2026 00:00:00 GMT

Cloudflare 组织（Organizations）上的 Distributor、MSSP 和 Agency 合作伙伴现在可以直接从 Cloudflare 仪表板添加和管理组织成员，无需 Cloudflare 的帮助。

以前，向 Distributor、MSSP 或 Agency 组织添加成员是一个手动的、需要 Cloudflare 协助的过程，该过程需要向 Cloudflare 发出请求并加入封闭式 beta 计划，而且这些组织的仪表板 Add member（添加成员） 流程会被阻止。

现在，组织管理员可以自己从 Organization（组织） > Members（成员） > Add member（添加成员） 添加成员，无需进行 beta 注册。

新成员通过与企业组织（enterprise Organizations）已使用的相同隐式访问模型来获取对组织账户的访问权限。Accounts（账户） 列表和账户切换器对 Distributor、MSSP 和 Agency 组织的分类与企业组织保持一致，因此它们的账户在仪表板中能被正确地标记和分组。

Agency 合作伙伴还可以访问组织（Organizations）仪表板，同时保留对其现有租户（Tenant）管理仪表板的访问权限。

Distributor、MSSP 和 Agency 组织目前处于 beta 阶段。

有关更多信息，请参阅管理组织成员。

WAF - WAF 发布 - 2026-07-17 - 紧急

Fri, 17 Jul 2026 00:00:00 GMT

此紧急发布添加了一条新的托管规则，以阻断对流行 Web 框架中发现的关键远程代码执行 (RCE) 和 SQL 注入 (SQLi) 漏洞的活动利用。

主要发现

通用框架 - 未经身份验证的 RCE: 攻击者可以通过在请求处理期间发送包含无效路径序列的恶意输入，以 Web 服务器权限执行任意系统命令。
通用框架 - SQLi: 由于未能对请求参数中的输入值进行清理，攻击者可以执行未经授权的数据库查询。

规则集	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集	无	Generic Rules - Unauthenticated RCE	无	阻断	这是新的检测。
Cloudflare 托管规则集	无	Generic Rules - SQLi	无	阻断	这是新的检测。
Cloudflare 免费规则集	无	Generic Rules - Unauthenticated RCE	无	阻断	这是新的检测。
Cloudflare 免费规则集	无	Generic Rules - SQLi	无	阻断	这是新的检测。

Access, Cloudflare One - 用于基于浏览器的 RDP 的批量打印 PDF

Thu, 16 Jul 2026 00:00:00 GMT

在基于浏览器的 RDP 会话中，用户现在可以将多个 PDF 文件作为单个打印作业进行打印。在远程计算机上将文件复制到剪贴板，然后选择剪贴板面板中的 Print all PDFs（打印所有 PDF）。这些文件将合并为一个 PDF 并发送到您的本地打印机。

批量打印在基于 Chromium 的浏览器和 Firefox 中可用。欲了解更多信息，请参阅为基于浏览器的 RDP 打印 PDF。

Flagship - 通过 Wrangler 从命令行管理 Flagship

Thu, 16 Jul 2026 00:00:00 GMT

Wrangler 现在包含 wrangler flagship，这是一套用于在终端中管理 Flagship 应用和功能标志的命令套件。

创建一个应用，如果您在 Worker 中使用它，可将其作为绑定（binding）添加到 wrangler.json 或 wrangler.jsonc 文件中：

wrangler flagship apps create "My Worker App" \
  --binding FLAGS \
  --update-config

然后为您要控制的行为创建标志。标志可以是布尔值、字符串、数字或 JSON 值：

wrangler flagship flags create <APP_ID> new-checkout

wrangler flagship flags create <APP_ID> checkout-flow \
  --variation control=old-checkout \
  --variation treatment=new-checkout \
  --default control \
  --type string

标志创建后，可以更改其默认变体，或使用启用和禁用命令作为开关。除非您明确更改或清除，否则现有的定向规则将继续适用：

wrangler flagship flags update <APP_ID> checkout-flow --default treatment
wrangler flagship flags disable <APP_ID> checkout-flow
wrangler flagship flags enable <APP_ID> checkout-flow

对于发布工作流，使用 rollout、split 和 rules 在不重新部署 Worker 的情况下更改曝光量：

wrangler flagship flags rollout <APP_ID> new-checkout \
  --to on \
  --percentage 25 \
  --by user_id

wrangler flagship flags split <APP_ID> checkout-flow \
  --weight control=80 \
  --weight treatment=20 \
  --by user_id

wrangler flagship flags rules update <APP_ID> checkout-flow \
  --priority 1 \
  --when "country equals US"

这些命令也可以在 CI/CD 流水线、脚本和 AI Agent 中使用，通过 Wrangler 检查 Flagship 状态、更新标志行为或回滚更改。

请参阅 wrangler flagship 命令参考获取完整的命令指南。

Rules - Cache Rules 中的 Bot management 字段和 ASN 支持

Thu, 16 Jul 2026 00:00:00 GMT

Cache Rules 中的 Bot management 字段和 ASN 支持

Cache Rules 现在在表达式过滤器中支持 Bot management 字段和 ip.src.asnum 字段。您现在可以构建区分自动流量和人类流量的缓存策略，或者根据自治系统编号（ASN）对缓存行为进行细分。

这允许您对已验证的 Bot、高风险流量或特定网络运营商应用不同的缓存策略，而不会影响合法的用户请求。例如，您可以为怀疑是 Bot 流量的请求设置较短的缓存 TTL，或者对来自特定 ASN 的请求完全绕过缓存。

新字段

以下字段现在在 Cache Rules 表达式中可用：

字段	类型	描述
`cf.bot_management.score`	数字	`1` 到 `99` 之间的 Bot 分数，较低的值表示请求源自 Bot 的可能性较高。
`cf.bot_management.ja3_hash`	字符串	请求的 JA3 指纹，有助于识别发起连接的客户端。
`cf.bot_management.ja4`	字符串	请求的 JA4 指纹，与 JA3 相比，提供了更详细的客户端识别。
`cf.bot_management.verified_bot`	布尔值	请求是否源自已验证的 Bot，例如搜索引擎爬虫。
`cf.bot_management.static_resource`	布尔值	请求是否针对静态资源，从而免于 Bot 检测。
`cf.bot_management.js_detection.passed`	布尔值	在启用该功能时，浏览器是否通过了 JavaScript 检测。
`cf.bot_management.attack_score`	数字	按攻击分数对请求进行分类，从 `1`（可能是自动的）到 `99`（可能是人类）。
`cf.bot_management.api_score`	数字	按 API 分数对请求进行分类，从 `1`（可能是自动的）到 `99`（可能是人类）。
`cf.bot_management.bot_tags["<TAG>"]`	布尔值	Bot 流量是否匹配指定的标签，例如 `google` 或 `bing`。
`cf.bot_management.corporate_proxy`	布尔值	请求是否源自已知的公司代理。
`ip.src.asnum`	数字	传入请求 IP 地址的自治系统编号（ASN）。

示例

Cache Rules 表达式支持将这些字段与其他标准结合使用。以下示例为来自高风险 Bot 或意外 ASN 的 API 请求设置较短的缓存 TTL：

(http.request.uri.path contains "/api/" and cf.bot_management.score lt 30)
or
(http.request.uri.path contains "/api/" and not ip.src.asnum in {12345 67890})

要了解更多信息，请参阅 Cache Rules 文档和字段参考。

Gateway, DNS - 内部 DNS 现在正式发布（Generally Available）

Wed, 15 Jul 2026 00:00:00 GMT

内部 DNS 现在已正式发布。内部 DNS 在您已用于公共 DNS、Zero Trust 和应用程序服务的同一个全球网络和控制平面上，为私有网络提供权威和递归 DNS 服务。

为什么它很重要

整合 DNS 运营。 公共和私有 DNS 运行在同一个平台上，拥有统一的 API、审计跟踪和策略设置入口。
简化水平分割 DNS。 内部和外部解析被定义为共享区域上独立的视图，并从单个控制平面进行管理 — 因此无需排查配置偏差。
将 Zero Trust 扩展到 DNS。 解析器策略决定哪些用户和设备针对哪个视图进行解析，并由已经监管您其余流量的同一个 Gateway 来执行。

设置内部 DNS 需要三个步骤：创建区域、创建视图并定义解析器策略。

POST /zones
{
  "account": {
    "id": "<ACCOUNT_ID>"
  },
  "name": "corp.internal",
  "type": "internal"
}

内部 DNS 已包含在面向企业级客户的 Cloudflare Gateway 中。要开始使用，请参阅 Internal DNS documentation。

Email Service, Queues - 使用 Queues 订阅 Email Sending 事件

Wed, 15 Jul 2026 00:00:00 GMT

您现在可以通过 Queues 事件订阅订阅 Email Sending 事件，并在队列中接收出站交易性电子邮件的生命周期事件。每个订阅的作用域仅限于一个发送域——可以是区域顶点（如 example.com），也可以是已验证的发送子域（如 send.example.com）。

发布了六种事件类型：message.delivered、message.deferred、message.bounced、message.failed、message.rejected 和 message.complained。使用它们来跟踪送达率、对退信和投诉做出反应，并驱动抑制或重试逻辑。Email Routing 事件不会发布在此数据源上。

每个事件都包含邮件详细信息、递送状态和 SMTP 响应：

{
	"type": "cf.email.sending.message.delivered",
	"source": {
		"type": "email.sending",
		"zoneId": "023e105f4ecef8ad9ca31a8372d0c353",
		"domain": "example.com"
	},
	"payload": {
		"messageId": "0101018f7d0c4d9a-msg-deadbeef",
		"recipient": "user@example.net",
		"terminal": true,
		"delivery": {
			"status": "delivered",
			"smtpStatusCode": "250"
		}
	}
}

请参阅事件订阅以查看所有事件类型和示例有效负载。

KV - 已弃用旧版 Workers KV 命名空间 API 路由

Wed, 15 Jul 2026 00:00:00 GMT

截至 2026 年 7 月 15 日，/accounts/{account_id}/workers/namespaces/* 下的旧版 Workers KV API 路由已弃用，并将于 2026 年 10 月 15 日停止工作。请在此日期之前迁移到文档化的 Workers KV API 路由 /accounts/{account_id}/storage/kv/namespaces/*。

旧版路由和替换后的路由是可互换的。它们接受相同的请求参数并返回相同的响应负载。要进行迁移，请将 URL 路径从 /workers/namespaces/ 更新为 /storage/kv/namespaces/。

您需要做什么

更新任何调用 /accounts/{account_id}/workers/namespaces/ 下路由的集成，以使用 /accounts/{account_id}/storage/kv/namespaces/ 下的等效路由。此迁移是直接的 URL 路径替换 —— 请求参数和响应负载完全相同：

GET 和 POST /accounts/{account_id}/workers/namespaces → GET 和 POST /accounts/{account_id}/storage/kv/namespaces
GET、PUT 和 DELETE /accounts/{account_id}/workers/namespaces/{namespace_id} → GET、PUT 和 DELETE /accounts/{account_id}/storage/kv/namespaces/{namespace_id}
GET /accounts/{account_id}/workers/namespaces/{namespace_id}/keys → GET /accounts/{account_id}/storage/kv/namespaces/{namespace_id}/keys
GET /accounts/{account_id}/workers/namespaces/{namespace_id}/metadata/{key_name} → GET /accounts/{account_id}/storage/kv/namespaces/{namespace_id}/metadata/{key_name}
GET、PUT 和 DELETE /accounts/{account_id}/workers/namespaces/{namespace_id}/values/{key_name} → GET、PUT 和 DELETE /accounts/{account_id}/storage/kv/namespaces/{namespace_id}/values/{key_name}

有关弃用时间线的更多信息，请参阅 API 弃用。

WAF - WAF 发布 - 2026-07-14

Tue, 14 Jul 2026 00:00:00 GMT

此版本引入了针对关键基础设施漏洞的新规则。其中包括 Citrix NetScaler ADC 和 Gateway 中的未经身份验证的内存泄露缺陷（CVE-2026-8451），以及 Progress Kemp LoadMaster 中高严重性的身份验证前远程代码执行 (RCE) 漏洞（CVE-2026-8037）。

主要发现

CVE-2026-8451: 配置为 SAML 身份提供商 (IdP) 的 Citrix NetScaler ADC 和 NetScaler Gateway 设备受到输入验证不足漏洞的影响。远程、未经身份验证的攻击者可以通过发送格式错误的请求来利用该漏洞触发内存过度读取，从而泄露相邻设备内存中的敏感数据块。
CVE-2026-8037: Progress Kemp LoadMaster 负载均衡器中的一个关键 OS 命令注入漏洞允许未经身份验证的远程攻击者实现远程代码执行 (RCE)。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Citrix Netscaler ADC - Insufficient Input Validation - CVE:CVE-2026-8451	记录	阻断	这是新的检测。
Cloudflare 托管规则集		无	Progress Kemp LoadMaster - Remote Code Execution - CVE:CVE-2026-8037	记录	阻断	这是新的检测。

Cloudflare Web Analytics - 针对账户级 Web Analytics 仪表板提高可靠性

Tue, 14 Jul 2026 00:00:00 GMT

Cloudflare Web Analytics (真实用户监控) 已经推出了性能优化，以显著提高账户级仪表板的稳定性和加载速度。

对于较大的账户（拥有超过 100 个 Web Analytics 站点），加载聚合的账户级视图通常会失败，因为大规模的并行查询处理会导致超时或意外的界面错误。此更新优化了如何查询大容量多站点数据，以减少错误并提供更敏捷的仪表板体验。

拥有最多 1,000 个站点的账户现在将能够加载此账户级聚合视图，而不会遇到误导性的错误。

如果您的账户拥有超过 1,000 个站点，由于处理限制，我们目前无法对此数量进行聚合，但您现在将看到清晰的错误提示和说明，引导您过滤到您希望查看其数据的相关站点。

Workers - 平台现在可以通过 Cloudflare API 创建临时账户

Tue, 14 Jul 2026 00:00:00 GMT

平台现在可以通过 Cloudflare REST API 创建临时预览账户。这允许您的平台在用户登录 Cloudflare 之前部署一个在线的 Worker。

借助临时账户（Temporary Accounts）API，编码智能体、AI 应用构建器和其他平台可以为生成的 Workers 和支持的资源构建类似的流程。

您的平台可以在用户生成、部署和测试应用程序时，让他们保持在平台的引导流程中。用户不需要现有的 Cloudflare 账户，您的平台也不需要该账户的写入权限。

API 返回一个认领 URL，允许用户将临时账户及其资源转为永久账户和资源。

Cloudflare Drop ↗ 展示了这种针对静态网站的“预览并认领”模式。用户可以上传网站，进行一小时的测试和分享，只有在想要保留它时才登录或创建账户。

该 API 扩展了最初通过 wrangler deploy --temporary 引入的流程。您的后端现在可以直接控制配置和部署体验：

在您的产品中向用户展示 Cloudflare 的服务条款和隐私政策，并要求用户接受它们。
请求并解决工作量证明（proof-of-work）挑战。
创建临时预览账户。
使用返回的临时账户 ID 和 API 令牌进行部署。
向用户显示已部署的 Worker URL 和认领 URL。

curl "https://api.cloudflare.com/client/v4/provisioning/previews/challenge" \
  -X POST \
  -H "Content-Type: application/json" \
  --data '{}'

curl "https://api.cloudflare.com/client/v4/provisioning/previews" \
  -X POST \
  -H "Content-Type: application/json" \
  --data '{
    "termsOfService": "https://www.cloudflare.com/terms/",
    "privacyPolicy": "https://www.cloudflare.com/privacypolicy/",
    "acceptTermsOfService": "yes",
    "challengeToken": "<CHALLENGE_TOKEN>",
    "solution": {
      "checkpoints": "<BASE64_CHECKPOINTS>"
    }
  }'

有关完整的 API 流程、工作量证明要求、支持的产品和限制，请参阅认领部署（临时账户）。有关此流程背后的背景和设计目标，请参阅 Temporary Cloudflare Accounts for AI agents ↗。

Agents, Workers - Agent 可以响应 MCP 引导式输入（elicitation）请求

Mon, 13 Jul 2026 00:00:00 GMT

现在，使用 addMcpServer 连接到 Model Context Protocol (MCP) 服务器的 Agent 可以处理引导式输入（elicitation） ↗请求。

引导式输入允许 MCP 服务器在处理工具调用时请求用户输入。表单（Form）模式收集结构化、非敏感的数据。URL 模式在打开带外（out-of-band）流（如第三方授权或支付）之前会征得同意。

sequenceDiagram
    participant 用户
    participant Agent as Agent (MCP 客户端)
    participant 服务器 as MCP 服务器
    participant 浏览器

    服务器->>Agent: elicitation/create
    Agent->>用户: 显示服务器、原因以及输入或 URL
    用户->>Agent: 提交、打开、拒绝或取消
    Agent->>浏览器: 征得同意后打开 URL（URL 模式）
    Agent->>服务器: accept, decline, or cancel
    服务器-->>Agent: 可选的 URL 完成通知

在 onStart() 中为您 Agent 支持的每种模式注册一个处理器：

import { Agent } from "agents";

export class MyAgent extends Agent {
	onStart() {
		this.mcp.configureElicitationHandlers({
			form: (request, serverId) => this.forwardToUser(request, serverId),
			url: (request, serverId) => this.forwardToUser(request, serverId),
		});
	}

	forwardToUser(request, serverId) {
		// Show the request in your UI and resolve after the user responds.
		throw new Error(
			`Implement elicitation for ${serverId}: ${request.params.message}`,
		);
	}
}

import { Agent } from "agents";
import type { ElicitRequest, ElicitResult } from "agents/mcp";

export class MyAgent extends Agent<Env> {
	onStart() {
		this.mcp.configureElicitationHandlers({
			form: (request, serverId) => this.forwardToUser(request, serverId),
			url: (request, serverId) => this.forwardToUser(request, serverId),
		});
	}

	private forwardToUser(
		request: ElicitRequest,
		serverId: string,
	): Promise<ElicitResult> {
		// Show the request in your UI and resolve after the user responds.
		throw new Error(
			`Implement elicitation for ${serverId}: ${request.params.message}`,
		);
	}
}

连接仅通告配置了处理器的模式。没有处理器的 Agent 不通告任何引导式输入能力，这允许服务器使用其回退方案。SDK 会在每次 MCP 服务器注册时存储通告的模式，以便它们在 Durable Object 休眠后仍能存活。回调函数将保留在内存中，并在 onStart() 运行时重新附着。

有关实现细节和浏览器转发模式，请参阅 MCP 客户端引导式输入。mcp-client ↗ 和 mcp-elicitation ↗ 示例实现双端对接。

升级

要更新到此版本：

npm i agents@latest

yarn add agents@latest

pnpm add agents@latest

bun add agents@latest

Challenges - Precursor 引入基于会话的 Bot 检测

Mon, 13 Jul 2026 00:00:00 GMT

Precursor 从今天起向所有客户推出。Precursor 是一种客户端 JavaScript，可实现基于会话的 Bot 检测。

您可以阅读公告博客 ↗，了解我们构建 Precursor 的背景以及会话级行为检测的工作原理。

启用 Precursor 后，Cloudflare 可以：

在整个会话中持续评估行为信号
随着行为变化重新验证挑战清除状态
使用会话上下文更新 Bot 评分
在以往不存在的客户端提供可见性

它与现有保护措施（包括安全规则）集成，可直接从 Cloudflare 仪表板启用，并提供可配置模式以平衡安全性和用户体验。

如需了解更多，请参阅 Precursor 文档。

Cloudflare Fundamentals - 适用于 Markdown for Agents 的源站内容信号（Origin Content Signals）

Mon, 13 Jul 2026 00:00:00 GMT

Markdown for Agents 现在在将 HTML 转换为 Markdown 时，会保留源站中与安全和缓存相关的响应标头：

Markdown for Agents 在转换后的响应上保留了安全标头，例如 Strict-Transport-Security (HSTS)、Content-Security-Policy (CSP)、X-Frame-Options、Set-Cookie 以及 CORS 标头（例如 Access-Control-Allow-Origin）。
缓存标头（Cache-Control、Expires、Age）继续透传。

您源站的 Content Signals ↗ 策略现在具有权威性。如果您的源站设置了 content-signal 标头，Markdown for Agents 会保留它。当源站没有发送该标头时，Cloudflare 会添加默认的 Content-Signal: ai-train=yes, search=yes, ai-input=yes。

此版本还修复了针对目录风格基准 URL（以斜杠结尾的 URL）的相对链接解析问题。以前，像 ../page/ 这样的相对链接可能会解析到高出一个路径段的位置并返回 404。现在，链接已根据 RFC 3986 ↗ 正确解析。

请参阅我们的开发者文档了解更多详情。

R2 - R2 Data Catalog 现在支持只读 API 令牌

Mon, 13 Jul 2026 00:00:00 GMT

R2 Data Catalog 现在接受只读 API 令牌，因此仅读取数据的查询引擎和客户端不再需要读写令牌。此前，每个目录操作都需要管理员读写令牌，这意味着只读客户端被授予了超出实际需要的访问权限。

您现在可以根据工作负载对 Iceberg 引擎进行身份验证：

只读操作（例如列出命名空间、加载表和查询数据）可使用管理员只读令牌（R2 Data Catalog 读取和 R2 存储读取）。
写入操作（例如创建或删除表以及提交事务）继续需要管理员读写令牌。

这让您可以遵循最小权限原则——例如，为向表写入数据的管道使用读写令牌，为 R2 SQL、DuckDB 或 PyIceberg 等查询引擎使用只读令牌。

请注意，目录颁发的凭证继承用于身份验证的令牌的 R2 存储权限。为确保对底层数据的只读访问，请将 R2 存储权限也限定为只读。

有关选择和创建正确令牌的详细信息，请参阅对 Iceberg 引擎进行身份验证。

R2 Data Catalog, R2 - R2 Data Catalog 压缩现在优化清单文件

Mon, 13 Jul 2026 00:00:00 GMT

R2 Data Catalog 是直接内置于 R2 的托管 Apache Iceberg ↗ 目录，现在作为压缩的一部分自动优化清单文件。

清单文件跟踪组成 Iceberg 表的数据文件。随着表积累了许多小型或碎片化的清单，查询引擎在查询规划期间必须读取更多元数据，这会导致查询变慢，甚至在扫描任何数据之前就已如此。

当压缩运行时，R2 Data Catalog 现在会按分区重写和聚簇清单文件作为尽力而为的预处理步骤。这可以整合碎片化的清单，减少查询引擎必须打开的清单数量，并降低元数据 I/O 开销。已经聚簇良好的表将被跳过，因此该操作仅在能带来收益时才运行。

对于已启用压缩的表，此功能自动生效——无需任何配置更改。

如需更多信息，请参阅表维护。

Data Loss Prevention - 源代码检测改进

Fri, 10 Jul 2026 00:00:00 GMT

数据丢失防护 (DLP) 源代码检测现在专注于识别整个源代码文件的上传和下载。以前，源代码检测执行部分扫描，导致误报率较高。由于现在仅对整个源代码文件进行评估，因此嵌入在其他内容（例如聊天消息、文档或代码示例）中的代码不再被标记为源代码，从而消除了常见的误报来源。

源代码检测需要至少 500 个字符来评估文件。低于此阈值的文件不会被标记，以减少噪点。此阈值过滤掉了缺乏足够上下文以进行可靠分类的小片段。

启用并设置置信度级别以调整匹配敏感度。较高的置信度级别通过需要更强烈的信号来表明内容确实是源代码，从而减少误报。较低的置信度级别会捕获更多文件，但代价是会产生额外的噪点。

源代码检测适用于 Gateway HTTP 策略中的独立源代码文件。它不会检测嵌入在其他文件类型或有效负载（例如 .docx 文件或聊天消息）中的源代码。

有关更多详细信息，请参阅 Source Code predefined profiles。

Workers AI - Markdown 转换的纯文本输出

Fri, 10 Jul 2026 00:00:00 GMT

Markdown 转换服务现在支持一个新的 output 转换选项，用于控制转换后内容的格式。

将 output.format 设置为 text 以接收移除了 Markdown 语法的纯文本。默认值为 markdown，因此现有转换不受影响。

使用 env.AI 绑定（binding）：

await env.AI.toMarkdown(
	{ name: "page.html", blob: new Blob([html]) },
	{
		conversionOptions: {
			output: { format: "text" },
		},
	},
);

await env.AI.toMarkdown(
	{ name: "page.html", blob: new Blob([html]) },
	{
		conversionOptions: {
			output: { format: "text" },
		},
	},
);

或者调用 REST API：

curl https://api.cloudflare.com/client/v4/accounts/{ACCOUNT_ID}/ai/tomarkdown \
  -H 'Authorization: Bearer {API_TOKEN}' \
  -F 'files=@index.html' \
  -F 'conversionOptions={"output": {"format": "text"}}'

当您请求文本输出时，每个结果的 format 字段会被设置为 text。有关更多详细信息，请参阅转换选项。

Workflows - Workflows 现在在重试时支持延迟函数

Thu, 09 Jul 2026 12:00:00 GMT

通过 Workflows，您可以为每个步骤配置内置的重试行为。以前，您可以配置具有固定延迟时长（例如秒、分钟或小时）的步骤重试，以及诸如 constant、linear 或 exponential 之类的退避策略。

步骤重试现在支持动态延迟函数。您无需仅选择基本延迟和退避策略，而是可以向 retries.delay 传递一个函数，并根据失败的尝试和抛出的错误计算下一次延迟。

当重试需要取决于故障类型时，这非常有用。您的 Workflow 可能需要在遇到速率限制错误后等待更长时间，但在发生短暂的网络故障后能更快地进行重试。如果下游 API 在其错误消息中返回了 Retry-After 值，延迟函数也可以适应提供商的指导。

await step.do(
	"sync customer",
	{
		retries: {
			limit: 5,
			delay: ({ ctx, error }) => {
				if (error.message.includes("rate limit")) {
					return `${ctx.attempt * 30} seconds`;
				}

				return "10 seconds";
			},
		},
	},
	async () => {
		await syncCustomer();
	},
);

await step.do(
	"sync customer",
	{
		retries: {
			limit: 5,
			delay: ({ ctx, error }) => {
				if (error.message.includes("rate limit")) {
					return `${ctx.attempt * 30} seconds`;
				}

				return "10 seconds";
			},
		},
	},
	async () => {
		await syncCustomer();
	},
);

动态延迟函数可以返回一个持续时间字符串、一个数字或一个解析为持续时间的 Promise。使用它们可以添加自适应重试行为，而无需编写单独的队列或调度逻辑。有关更多信息，请参阅休眠和重试。

DNS - 新的 DNS Firewall UX 带来更多仪表板设置

Thu, 09 Jul 2026 00:00:00 GMT

Cloudflare 仪表板中的 DNS Firewall 页面已焕然一新，将以前仅限 API 的多项设置引入到 UI 中，并使您查看和管理 DNS Firewall 集群的方式更加现代化。

新增功能

仪表板中提供更多设置：以前只能通过 API 配置的集群选项（如攻击缓解、速率限制、否定 TTL 和解析器子网）现在可直接在仪表板中使用。
更佳的表格体验：重新设计了 DNS Firewall 集群表格以一目了然地呈现集群详细信息，支持调整列大小，以及显示或隐藏列以根据您的工作流定制视图。
全新的创建和编辑 UX：添加和编辑集群现在使用现代化的表单，将相关设置分在组里，使配置更快速、更清晰。

可用性

作为现有订阅的一部分，向所有 DNS Firewall 客户提供。

在哪里可以找到它

在 Cloudflare 仪表板中，转到 DNS Firewall 页面。

Go to Clusters ↗

有关更多信息，请参阅 DNS Firewall。

Durable Objects, Workers - 新的 Durable Object 命名空间必须使用 SQLite 存储后端

Thu, 09 Jul 2026 00:00:00 GMT

如果您的账户中尚无基于键值 (KV) 后端的 Durable Object 命名空间，您将无法再创建新的此类命名空间。新的 Durable Object 命名空间必须使用 SQLite 存储后端。自 2024 年该后端正式商用 (GA) ↗ 以来，我们一直推荐所有新的 Durable Objects 使用该后端。

通过 new_sqlite_classes 迁移创建一个新类：

{
  "$schema": "./node_modules/wrangler/config-schema.json",
  "migrations": [
    {
      "tag": "v1",
      "new_sqlite_classes": [
        "MyDurableObject"
      ]
    }
  ]
}

[[migrations]]
tag = "v1"
new_sqlite_classes = ["MyDurableObject"]

基于 SQLite 的 Durable Objects 与键值后端具有同等的功能特性——包括键值存储 API——并且还支持关系型 SQL 查询以及时间点恢复 (PITR)，可将对象存储恢复到过去 30 天内的任意时间点。

如果您尝试在受影响的账户上创建新的基于键值的命名空间（使用 new_classes 迁移），部署将失败并显示以下错误：

Creating new key-value backed Durable Object namespaces is no longer supported on this account. Please create a namespace using a `new_sqlite_classes` migration instead.

此更改仅影响尚未开始使用键值存储后端的账户。拥有至少一个现有基于键值命名空间的账户目前仍可创建新的命名空间，而 Workers 免费计划一直以来仅支持基于 SQLite 的 Durable Objects。这是向将 SQLite 作为 Durable Objects 单一存储后端迈出的更广泛一步，为未来现有基于键值对象的迁移路径做准备。

欲了解更多信息，请参阅 Durable Objects 迁移。

Cloudflare Tunnel, Cloudflare Tunnel for SASE, Cloudflare Mesh - Zero Trust Networks 路由终点和 Cloudflare Tunnel 连接字段将于 2026 年 10 月 5 日停用

Thu, 09 Jul 2026 00:00:00 GMT

在 2026 年 10 月 5 日，两项变更将在 Zero Trust Networks API 和 Cloudflare Tunnel API 中生效：移除经过 CIDR 编码的路由终点，且 tunnel list 和 get 响应将不再包含 connections 字段。如果您通过 API、cloudflared、Terraform 或其他集成管理私有网络路由或读取 tunnel 连接详情，请阅读以下部分中的变更说明并在移除日期之前完成迁移。

路由终点

经过 CIDR 编码的路由终点已被弃用，转而使用目前已存在的基于标准 route_id 的终点。这两组终点都是通过 Cloudflare Tunnel 或 Cloudflare Mesh 路由私有网络（API 仍将 Mesh 节点称为 warp_connector）— 仅请求形状（request shape）发生了变化。

已弃用的终点（将于 2026 年 10 月 5 日移除）：

创建 tunnel 路由（CIDR 终点）：POST /accounts/{account_id}/teamnet/routes/network/{ip_network_encoded}
更新 tunnel 路由（CIDR 终点）：PATCH /accounts/{account_id}/teamnet/routes/network/{ip_network_encoded}
删除 tunnel 路由（CIDR 终点）：DELETE /accounts/{account_id}/teamnet/routes/network/{ip_network_encoded}

替代终点：

创建 tunnel 路由：POST /accounts/{account_id}/teamnet/routes
更新 tunnel 路由：PATCH /accounts/{account_id}/teamnet/routes/{route_id}
删除 tunnel 路由：DELETE /accounts/{account_id}/teamnet/routes/{route_id}

变更内容

	已弃用（CIDR 编码路径）	替代方案
路由标识符	路径中经过 URL 编码的 CIDR (`/network/{ip_network_encoded}`)	路径中的 `route_id`（创建时 `network` 移动到请求体中）
创建	`POST .../teamnet/routes/network/{ip_network_encoded}`	请求体中包含 `network` 和 `tunnel_id` 的 `POST .../teamnet/routes`
更新	`PATCH .../teamnet/routes/network/{ip_network_encoded}`	`PATCH .../teamnet/routes/{route_id}`
删除	`DELETE .../teamnet/routes/network/{ip_network_encoded}`	`DELETE .../teamnet/routes/{route_id}`

需要采取的行动

通过调用列出 tunnel 路由获取每个路由的 route_id，或者在首次使用替代终点创建路由时从响应中读取它。
更新任何直接调用经过 CIDR 编码的终点的脚本、后端服务或 CI/CD 流水线。
如果您使用 cloudflared tunnel route ip add | delete 命令管理路由，请将 cloudflared 升级到最新版本 ↗。
如果您使用 Terraform 管理路由，请确保您使用的是最新版本的 cloudflare_zero_trust_tunnel_cloudflared_route ↗ 资源以及 Cloudflare Terraform 提供商 ↗。

# Before: create a route by URL-encoding the CIDR into the path
curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/network/172.16.0.0%2F16 \
     -H 'Content-Type: application/json' \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
     -d '{"tunnel_id": "'$TUNNEL_ID'", "comment": "Example comment for this route."}'

# After: create a route with the network in the request body
curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes \
     -H 'Content-Type: application/json' \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
     -d '{"network": "172.16.0.0/16", "tunnel_id": "'$TUNNEL_ID'", "comment": "Example comment for this route."}'

# After: update or delete a route using its route_id
curl -X PATCH https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID \
     -H 'Content-Type: application/json' \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
     -d '{"comment": "Updated comment for this route."}'

curl -X DELETE https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Cloudflare Tunnel 和 Cloudflare Mesh 连接

自同一天起，将从 Cloudflare Tunnel 和 Cloudflare Mesh 节点（cfd_tunnel 和 warp_connector API 资源）的 list 和 get 响应中移除 connections 数组。请查询专用的连接终点，而不是从 tunnel 或节点对象中读取该字段。

这会影响：

GET /accounts/{account_id}/cfd_tunnel — 从 result 中的每个项目中移除 connections
GET /accounts/{account_id}/cfd_tunnel/{tunnel_id} — 从 result 中移除 connections
GET /accounts/{account_id}/warp_connector — 从 result 中的每个项目中移除 connections
GET /accounts/{account_id}/warp_connector/{tunnel_id} — 从 result 中移除 connections

需要采取的行动

从特定于 tunnel 的连接终点获取连接详情，而不是从 list 或 get 响应中解析。对于 Cloudflare Tunnel，请调用 GET /accounts/{account_id}/cfd_tunnel/{tunnel_id}/connections。对于 Cloudflare Mesh，请调用 GET /accounts/{account_id}/warp_connector/{tunnel_id}/connections。

# Before: read connections off the tunnel object
curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

# After: query connections directly
curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/connections \
     -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

更新任何从 tunnel list 或 get 响应中解析 connections 的仪表板、监控脚本或自动化。cloudflared 和 Cloudflare Terraform 提供商不读取此字段，因此它们的这一部分更新不需要做任何更改。

做出这些更改的原因

响应更小、速度更快。 具有许多连接的 Cloudflare Tunnel 和 Cloudflare Mesh 节点不再膨胀每次 list 和 get 调用 — 仅在您需要时才获取连接详情。
静态或标识路由的单一方式。 统一使用 route_id 消除了对路径中 CIDR 范围进行 URL 编码的需要，并且与 Zero Trust Networks API 中所有其他资源的寻址方式一致。
跨 API 的一致性。 这两项变更使这些终点与 Cloudflare 针对资源标识符和嵌套详情终点的标准 REST 约定保持一致。

要了解更多信息，请参阅 Zero Trust Networks API、Cloudflare Tunnel API 和路由文档。

Workers - 随 Worker 上传发送 npm 包依赖项元数据

Thu, 09 Jul 2026 00:00:00 GMT

Wrangler 现在在执行 wrangler deploy 和 wrangler versions upload 期间，从您项目的 package.json 中收集 npm 包依赖项信息，并将其包含在发送到 Cloudflare API 的上传元数据中。这些数据包括每个依赖项的名称、声明的版本范围以及实际安装的确切版本，有助于实现依赖项分析以及未来的供应链安全功能（如漏洞警报）。

要选择停用，请在您的 Wrangler 配置文件中将 dependencies_instrumentation.enabled 设置为 false：

{
	"dependencies_instrumentation": {
		"enabled": false
	}
}

[dependencies_instrumentation]
enabled = false

有关更多详细信息，请参阅 Wrangler 配置。

AI Search - 按精确对象键筛选 AI Search 列表项

Wed, 08 Jul 2026 00:00:00 GMT

在 AI Search 中，您可以将文件上传到实例，或连接诸如 R2 存储桶之类的数据源，从而让您能够使用自然语言搜索您的内容。每个文件都成为由对象 **key（其文件名或路径）**标识的 项（item）。列表项端点会返回实例中的项。

该端点现在接受 key 查询参数，因此您可以通过精确的对象键查找单个项，而无需翻页浏览整个列表。这为您知道键但不知道 ID 的情况补充了现有的 item_id 筛选器。

curl "https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/ai-search/instances/<INSTANCE_NAME>/items?key=docs/readme.md" \
  -H "Authorization: Bearer <API_TOKEN>"

键在每个数据源中是唯一的，因此当多个数据源中存在相同的键时，请将 key 与 source 结合使用（例如 source=builtin）以消除歧义。

有关更多信息，请参阅管理项。

Workers AI, AI Search - Workers AI toMarkdown 和 AI Search 现在支持 GIF 和 BMP 图像转换

Wed, 08 Jul 2026 00:00:00 GMT

除了已支持的 JPEG、PNG、WebP 和 SVG 格式外，Workers AI Markdown 转换 (toMarkdown) 现在还支持 .gif 和 .bmp 图像文件。

GIF 和 BMP 文件与其他格式运行相同的图像流水线。根据需要调整每张图像的大小（对于动态 GIF，仅使用第一帧），然后传递给目标检测模型以识别其包含的内容。这些检测到的目标会提示视觉模型编写图像的自然语言描述，该描述将变成可搜索、机器可读的 Markdown。

AI Search 会自动使用 toMarkdown 来处理它引入的文件，因此下一次您的索引同步时会自动包含任何 .gif 和 .bmp 文件，无需更改任何配置。当您的内容混合了多种格式时，例如充满屏幕截图的支持知识库或 BMP 扫描件的存档，这将非常有用。

详细了解 Markdown 转换以及 AI Search 支持的文件类型的完整列表。

Cloudflare One, Cloudflare WAN - IPsec 降级保护 (Beta)

Wed, 08 Jul 2026 00:00:00 GMT

Cloudflare IPsec 现在支持 IKE_SA_INIT_FULL_TRANSCRIPT_AUTH ↗ IKEv2 扩展，以防御 IPsec 隧道上的降级攻击。

IKEv2 的原始身份验证设计是让每个端点仅对其自己的出网消息进行签名，而不是对完整的握手脚本进行签名。具有量子计算能力的路径上（on-path）攻击者 ↗可以利用这一点，通过将连接降级为传统密码学，从而绕过后量子密钥交换。IKE_SA_INIT_FULL_TRANSCRIPT_AUTH 扩展通过在身份验证交换期间让双方对整个握手脚本进行签名来解决此问题，从而防止攻击者在不被发现的情况下操纵协商。

关键详情：

在 Cloudflare WAN 和 Magic Transit IPsec 隧道中提供 Beta 版。
启用该功能标志后，Cloudflare 会作为响应方（responder）无条件发送 IKE_SA_INIT_FULL_TRANSCRIPT_AUTH 通知。
发起方（您的设备）和响应方（Cloudflare）都必须支持该扩展，降级保护才能生效。
此功能目前由每个账户的功能标志控制。请联系您的账户团队将其开启。

请参阅降级保护了解更多详情。

R2 SQL - 从仪表板使用 R2 SQL 查询 R2 Data Catalog 表

Wed, 08 Jul 2026 00:00:00 GMT

您现在可以直接从 Cloudflare 仪表板使用 R2 SQL 查询您的 R2 Data Catalog 表，而无需安装 CLI 或接入客户端。这使得在同一个地方探索 Apache Iceberg ↗ 数据、验证查询并检查结果变得非常容易。

要开始使用，请转到 Cloudflare 仪表板中的 R2 Data Catalog ↗ 并选择 **Query data（查询数据）**以启动内置的 SQL 编辑器。从那里您可以：

交互式编写和运行查询 — 直接在浏览器中对 R2 SQL 进行迭代，提供语法高亮和自动完成功能，而无需通过 Wrangler 或 REST API 重新运行命令。
探索您的数据 — 在编辑器旁探索您的命名空间和表，这样您无需离开页面或使用其他工具即可发现哪些内容是可查询的。
了解结果和性能 — 查看包含每个查询统计信息的结果集，导出它们，并获取有用的 EXPLAIN 输出以确切了解查询如何运行。

Workers AI - Moondream 3.1 现已在 Workers AI 上可用

Wed, 08 Jul 2026 00:00:00 GMT

我们与 Moondream ↗ 合作，将其最新模型 @cf/moondream/moondream3.1-9B-A2B 引入 Workers AI。Moondream 3.1 是一款基于混合专家（mixture-of-experts）架构构建的快速视觉语言模型，总参数量为 9B，活跃参数量为 2B，可在保持快速、高性价比推理的同时提供前沿级别的视觉推理。

Moondream 3.1 专为实际视觉任务而设计，具备 32K token 上下文窗口，用于处理复杂查询和结构化输出。

关键能力

Query（查询） — 针对图像提出开放式问题，带有一个可选的推理参数
Caption（描述） — 生成图像的简短、正常或长描述
Point（指向） — 返回与目标词组匹配的对象坐标
Detect（检测） — 返回与目标词组匹配的对象边界框

边缘实时视觉

像实时摄像头馈送、机器人、内容审核和交互式智能体之类的视觉工作负载，需要毫秒级而不是秒级的响应。Moondream 3.1 较小的活跃占用（2B 活跃参数）与 Workers AI 的无服务器、全球分布式推理完美结合：请求可在靠近您用户的地方运行，且流式响应几乎可以立即开始返回 token。

在我们的测试中，首个 token 在大约 20–30 毫秒内流式返回，并且在每项任务中结果都非常迅速。以下示例端到端时间（客户端观察到的中位数，包括网络往返时间）是针对一张简单的、单一主体的图像。实际延迟很大程度上取决于图像以及您所要求的详细程度。

任务	端到端 (p50)
`query`	~770 ms
`caption`	~480 ms
`point`	~145 ms
`detect`	~160 ms

在这样的速度下，您可以在处理请求时以内联方式调用模型，而无需将工作推送到后台队列或单独的服务。这开启了那些“如果响应缓慢就会破坏体验”的使用场景：在存储用户上传的图像前对其进行审核、在视频帧中定位对象以驱动实时叠加层、在提交表单时从文档中提取字段，或者让智能体在单轮内检查屏幕截图并决定其下一步操作。

快速入门

通过 Workers AI 绑定（binding） (env.AI.run()) 或 /ai/run 处的 REST API 来使用 Moondream 3.1。您还可以在这些端点中搭配使用 AI Gateway。

欲了解更多信息，请参阅 Moondream 3.1 模型页面和定价。

Workers - Cloudflare Drop

Wed, 08 Jul 2026 00:00:00 GMT

Cloudflare Drop ↗ 允许您向 Cloudflare 部署静态网站，而无需先拥有 Cloudflare 账户。

上传包含静态资产（静态 HTML、CSS、JavaScript、图像和字体）的文件夹或 ZIP 文件，即可获得保持在线 1 小时临时的实时预览。在此时间窗内，您可以测试网站、共享预览 URL 或认领该部署以保留它。

当您准备好使部署永久生效时，请点击 Claim（认领） 以登录或创建 Cloudflare 账户。您可以将网站认领到现有的 Cloudflare 账户中，也可以为该部署创建一个新账户。

认领网站后，您可以：

添加域名：连接现有域名或为您的网站购买新域名。
启用可观测性：监控您网站的性能和使用情况。
启用 Markdown for Agents：允许 AI 智能体以 Markdown 格式访问您网站的内容。
控制访问：将您的网站设为私有并选择谁可以查看它。

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.6.850.0)

Tue, 07 Jul 2026 18:35:35 GMT

A new GA release for the Windows Cloudflare One Client is now available on the stable releases downloads page.

This hotfix addresses a Windows authentication issue in the embedded WebView2 browser. Single sign-on could fail to use the Windows primary account, causing users to be prompted for an interactive sign-in. The embedded authentication browser now allows SSO providers to use the OS primary account when available.

Workflows - Workflows 定价增加按步骤计费。步骤和存储计费将不早于 2026 年 8 月 10 日开始。

Tue, 07 Jul 2026 12:00:00 GMT

Workflows 定价现在包括按步骤计费。自最初的公开 Beta 版以来已启用请求和 CPU 时间计费，且不会发生变化。

Workflows 增加步骤计费

步骤是 Workflow 执行的每个工作单元，包括诸如休眠或等待事件之类的步骤操作。

您可以使用 GraphQL Analytics API 查询 Workflows 分析，包括 Workflow 实例的 stepCount。

步骤和存储计费将于 2026 年 8 月 10 日生效

自 2026 年 8 月 10 日起（不早于该日期），Cloudflare 将开始对 Workers Paid 计划的步骤和存储使用进行计费。

存储定价自 Workflows 正式发布以来就已公布，且不会发生变化。存储以 GB-月为单位度量持久化的 Workflow 状态。

维度	Workers Free	Workers Paid
步骤	每天包含 3,000 步	每月包含 500,000 步，之后每增加 100,000 步为 0.80 美元
存储	包含 1 GB-月	包含 1 GB-月，之后每增加 1 GB-月为 0.20 美元

Workers Free 计划的开发者无需为超出包含数量的步骤或存储付费。

Cloudflare 在 2026 年 8 月 10 日之前不会对步骤和存储使用量进行计费。

在此更改生效之前，您可以在 Cloudflare 仪表板 ↗中查看 Workflows 使用情况。为了降低成本，可以考虑减少每个 Workflow 的步骤数量，或提高存储状态的内存效率。

有关完整详细信息，请参阅 Workflows 定价页面。

Access, Cloudflare One - 用于基于浏览器的 RDP 的文件传输控制（Beta）

Tue, 07 Jul 2026 00:00:00 GMT

您现在可以为使用 Cloudflare Access 的基于浏览器的 RDP 配置文件传输控制，允许您限制用户是否可以在其本地计算机与远程 Windows 服务器之间上传或下载文件。

对于支持自带设备（BYOD）政策或使用未托管设备的第三方承包商的组织，此功能非常有用。通过限制文件传输，您可以防止敏感数据从远程会话转移到用户的个人设备。

配置选项

文件传输控制在您的 Access 应用程序中针对每个策略进行配置，与现有的文本剪贴板控制并列。对于每个策略，您可以选择以下选项之一：

允许从客户端到远程 RDP 会话 — 用户可以从其本地计算机上传文件到基于浏览器的 RDP 会话中。
允许从远程 RDP 会话到客户端 — 用户可以从基于浏览器的 RDP 会话下载文件到其本地计算机中。
允许双向 — 用户可以在其本地计算机与基于浏览器的 RDP 会话之间上传和下载文件。
禁用复制/粘贴 — 不允许用户在其本地计算机与基于浏览器的 RDP 会话之间传输文件。

默认情况下，新策略的文件传输功能是被拒绝的。对于在此功能可用之前创建的现有 Access 应用程序，文件传输依然被拒绝。

工作原理

要上传，请将文件拖入浏览器窗口，或选择 RDP 会话左侧的设置齿轮图标。要下载，请在远程会话中复制文件，然后选择设置齿轮以进行下载、将多个文件下载为 zip 包，或者将 PDF 打印到本地打印机。

此功能处于 Beta 阶段，可在所有 Zero Trust 方案中使用。欲了解更多信息，请参阅基于浏览器的 RDP 的文件传输。

Browser Isolation, Cloudflare One - 浏览器隔离支持授权代理端点

Tue, 07 Jul 2026 00:00:00 GMT

浏览器隔离现在支持 Gateway 授权代理端点。您可以对通过授权代理端点路由的流量应用 HTTP 隔离策略，方式与对来自 Cloudflare One 客户端的流量相同。

此前，只有源 IP 代理端点支持浏览器隔离，且仅支持非基于身份的策略。由于授权代理端点通过身份提供商对用户进行认证，您现在无需 Cloudflare One 客户端即可对 PAC 文件代理流量应用基于身份的隔离策略。

如需开始，请创建授权代理端点并构建隔离策略。

Browser Run - Browser Run 无障碍树新端点

Tue, 07 Jul 2026 00:00:00 GMT

Browser Run 现在支持独立的 /accessibilityTree 端点，为 Agent 和自动化工作流提供对已渲染网页浏览器无障碍树的直接访问。

无障碍树是浏览器对已渲染页面的结构化视图：角色、名称、状态、值和层级关系。它对无障碍工具很有用，同时也对需要页面结构而无需处理原始 HTML 噪音或截图成本的 AI Agent 和自动化工作流非常实用。

对于 AI Agent 而言，这意味着减少了从像素推断信息以及解析 HTML 的工作。您可以直接提供页面结构，帮助 Agent 识别可用元素并判断其可执行的操作。

使用新的 /accessibilityTree 端点，当您只需要页面的语义结构时，可以直接请求无障碍树。如果需要在单次 API 调用中获取多种页面格式，可以使用 /snapshot 端点，该端点同时返回 Markdown、HTML 和截图。

curl -X POST 'https://api.cloudflare.com/client/v4/accounts/<accountId>/browser-run/accessibilityTree' \
  -H 'Authorization: Bearer <apiToken>' \
  -H 'Content-Type: application/json' \
  -d '{
    "url": "https://example.com/"
}'

{
	"success": true,
	"result": {
		"accessibilityTree": {
			"role": "RootWebArea",
			"name": "Example Domain",
			"children": [
				{
					"role": "heading",
					"name": "Example Domain",
					"level": 1
				},
				{
					"role": "link",
					"name": "Learn more"
				}
			]
		}
	}
}

使用 interestingOnly 仅返回语义上有意义的节点，或使用 root 捕获特定子树的无障碍树。

请参阅 /accessibilityTree 文档以获取使用示例和支持的参数。

Logs - 新的 WebSocket Analytics Logpush 数据集

Tue, 07 Jul 2026 00:00:00 GMT

企业客户现在可以使用新的 websocket_analytics 数据集将每个连接的 WebSocket 分析推送到任何 Logpush 目标。每条日志记录在 WebSocket 连接关闭时生成，并包含以前只有 Cloudflare 工程师才能通过内部工具访问的字段。

关键字段包括：

ConnectionCloseReason — 连接结束的原因：peerReset、peerNoError、timedOut、upstreamReset、protocolViolation、unspecifiedError 或 none。
ConnectionCloseSource — 哪一方发起关闭：upstream、downstream、me 或 both。
ConnectionTransportCloseCode — TLS 警报代码或 TCP 级别关闭代码，提供额外精度。
RayID — 将 WebSocket 连接事件与现有 HTTP 请求日志关联。

该数据集还包含方向性字节计数（BytesSentClient、BytesReceivedClient、BytesSentOrigin、BytesReceivedOrigin）、连接时间戳、客户端 IP、机房代码以及原始 WebSocket 升级请求的元数据。

这些数据可帮助您直接在现有日志分析工具中，根据连接关闭模式构建告警——例如，按主机和数据中心分组，检测 TCP 重置（ConnectionCloseReason == "peerReset"）的峰值。

有关可用字段的完整列表，请参阅 WebSocket Analytics。

R2 - R2 Data Catalog 在手动删除数据前发出警告

Tue, 07 Jul 2026 00:00:00 GMT

R2 Data Catalog 是直接内置于 R2 存储桶的托管 Apache Iceberg ↗ 目录。Iceberg 通过元数据文件树追踪您的数据，因此每次插入、更新和删除都必须通过目录事务进行。在目录外手动添加、修改或删除对象可能会留下指向不再存在的文件的指针，使表损坏成难以恢复的不一致状态。

为帮助防止此类情况，R2 仪表板和 Wrangler 现在会在您尝试对启用 Data Catalog 的存储桶执行手动删除操作时发出警告。

仪表板

当您尝试从启用 R2 Data Catalog 的存储桶中删除对象时，仪表板会显示一个警告，解释该操作可能使目录处于无效状态，并提供正确删除数据的文档链接。您可以取消操作或选择继续执行。

Wrangler

Wrangler 现在在运行删除操作前会检查存储桶是否启用了 Data Catalog，并在继续之前发出警告：

Data Catalog is enabled for this bucket. 
Proceeding may leave the data catalog in an invalid state. Continue?

要了解如何安全管理和删除表中的数据，请参阅 R2 Data Catalog 文档。

Cloudflare One Appliance, Cloudflare One, Cloudflare WAN - 在仪表板中自助注册 Cloudflare One 虚拟 Appliance

Mon, 06 Jul 2026 00:00:00 GMT

您现在可以直接从仪表板注册 Cloudflare One 虚拟 Appliance 并生成其许可证密钥，而无需联系您的账户团队。

在 Connectors（连接器） 页面上，选择 Add an appliance（添加设备） 并选择 Virtual appliance（虚拟设备） 以注册虚拟 Appliance 并生成其身份验证密钥。
从虚拟 Appliance 连接器的菜单中，使用 Regenerate authentication key 来轮换其密钥。先前的密钥会立即且不可逆地撤销。
身份验证密钥仅显示一次——请复制并妥善保存。

这对现有的用于配置虚拟 Appliance 的 API 和 Terraform 自助服务工作流进行了补充。硬件 Appliance 继续使用现有的账户团队履行工作流。

有关详细信息，请参阅配置 Cloudflare One 虚拟 Appliance。

Durable Objects, Workers - 使用 `exports` 声明 Durable Object 类生命周期

Sat, 04 Jul 2026 00:00:00 GMT

Wrangler 配置文件中全新的声明式 exports 字段取代了用于管理 Durable Object 类生命周期的命令式 migrations 数组。您无需再编写带有唯一标签的有序迁移步骤列表，而是声明 Worker 导出的每个 Durable Object 类，Cloudflare 会将其与已部署的内容进行对比，以确定需要创建、重命名还是删除哪些 Durable Object 状态。

在使用旧版迁移时，将 ChatRoom 重命名为 Room 需要保留这两个标记的步骤：

Before — legacy migrationsjsonc

{
	"migrations": [
		{ "tag": "v1", "new_sqlite_classes": ["ChatRoom"] },
		{
			"tag": "v2",
			"renamed_classes": [{ "from": "ChatRoom", "to": "Room" }],
		},
	],
}

而使用 exports，您只需将 Room 声明为当前类，并将 ChatRoom 标记为已重命名：

After — declarative exportsjsonc

{
	"exports": {
		"ChatRoom": {
			"type": "durable-object",
			"state": "renamed",
			"renamed_to": "Room",
		},
		"Room": { "type": "durable-object", "storage": "sqlite" },
	},
}

每个条目都以类名作为键。state 字段承载生命周期（默认为 created——活动类——以及墓碑（tombstone）状态 deleted、renamed、transferred，和用于跨 Worker 传输的接收状态 expecting-transfer）。

与旧版 migrations 数组相比的关键改进：

无需迁移标签。 当前的 exports 映射是唯一的真实数据源——无需维护 v1、v2、v3 条目的历史链。
结构化的部署输出。 Wrangler 会在创建、更新、删除、重命名或传输 Durable Object 类时进行报告。它还会识别可安全删除的陈旧配置条目。没有更改或通知的部署不会打印此输出。
零停机重命名和传输模式是一等公民。 墓碑（Tombstones）可以与代码中仍然存在的源类共存，从而实现三次部署重命名和四次部署跨 Worker 传输，在滚动部署期间不会出现运行时错误。
跨 Worker 安全性。 当您删除或重命名类时，Cloudflare 会列出您账户中其绑定（binding）仍引用该命名空间的其他所有 Worker，以便您在更改生效前重新部署它们。

使用旧版 migrations 数组的现有 Workers 仍可照常工作，无需任何更改。要过渡到 exports，请参阅迁移指南。在单个 Worker 中，exports 和 migrations 是互斥的。

欲了解完整的参考信息，请参阅 Durable Object 类导出。

Workers - 借助 @cloudflare/workers-types v5 实现更简单的运行时类型

Fri, 03 Jul 2026 00:00:00 GMT

我们已经发布了 @cloudflare/workers-types ↗ 的第 5 版。此版本简化了该包，使其仅公开最新的运行时类型。

我们仍然建议您使用 wrangler types 为您的 Worker 生成类型，但如果您想直接使用该包，您可以使用您选择的包管理器进行安装：

npm i -D @cloudflare/workers-types@latest

yarn add -D @cloudflare/workers-types@latest

pnpm add -D @cloudflare/workers-types@latest

bun add -d @cloudflare/workers-types@latest

该包现在公开了两个入口点：

@cloudflare/workers-types 反映了最新的兼容性日期，使用最新的稳定兼容性标志。
@cloudflare/workers-types/experimental 反映了处于实验性兼容性标志之下的 API。

删除了带有日期的入口点，例如 @cloudflare/workers-types/2022-11-30 和 @cloudflare/workers-types/2023-03-01。借助 Wrangler v4 中的运行时类型生成功能，您可以使用 wrangler types 命令来生成这些类型，以创建锁定到您的 Worker 兼容日期的类型。

有关更多信息，请参阅 TypeScript 语言支持。

AI Search - 使用 Wrangler CLI 管理 AI Search 同步作业

Thu, 02 Jul 2026 00:00:00 GMT

当您将数据源连接到您的 AI Search 实例时，AI Search 会运行同步作业以使您的索引与您的内容保持最新。您现在可以直接从 Wrangler 管理这些作业。

例如，您可以使用 jobs create 命令从您的 CI/CD 或自动化流水线触发同步作业，以便在推送更改时刷新索引：

wrangler ai-search jobs create my-instance

这将创建一个异步同步作业，该作业会检查数据源中的更改，并发送新增、修改或删除的文件以进行索引。以下命令可用：

命令	说明
`wrangler ai-search jobs create`	触发新的同步作业
`wrangler ai-search jobs list`	列出实例的同步作业
`wrangler ai-search jobs get`	获取作业详情
`wrangler ai-search jobs cancel`	取消正在运行的作业
`wrangler ai-search jobs logs`	查看作业的日志条目

所有命令都接受 --namespace/-n（默认为 default）和 --json，以输出自动化和 AI 代理可以直接解析的结构化数据。list 和 logs 命令还支持用于分页的 --page 和 --per-page，并且除非您传递 -y/--force，否则 cancel 会提示确认。

有关完整的用法详细信息，请参阅 AI Search Wrangler 命令文档。

Cache - 使用 Vary 缓存同一 URL 的多个版本

Thu, 02 Jul 2026 00:00:00 GMT

您的源站可以通过返回 Vary ↗ 响应标头，为同一个 URL 提供不同的响应 —— 例如根据 Accept-Language 提供不同的语言，或者根据 Accept 提供不同的格式。Cloudflare 的缓存现在直接在缓存规则（Cache Rules）中遵循该标头，因此同一个 URL 可以保存多个缓存版本，并且每个请求都与正确的版本进行匹配。以前必须绕过缓存以保持正确性的内容现在可以被缓存，遵循标准的 HTTP 缓存行为 ↗。

发生了什么变化

您的源站现在通过在其 Vary 响应中列出哪些请求标头重要来决定它们，而您则控制 Cloudflare 如何处理每一个。当您使用缓存规则启用了 Vary 且响应包含 Vary 标头时，列出的请求标头将成为缓存键的一部分。

对于您的源站变化所依赖的每个标头，选择以下三个操作之一：

操作	行为	最适用于
`normalize`	在匹配之前将等效的标头值转换为相同的缓存键值，折叠冗余版本。	大多数 `Accept`、`Accept-Language` 和 `Accept-Encoding` 用例。
`passthrough`	使用原始标头值选择缓存版本，并将其不作修改地转发到源站。	当标头值中逐字节的差异应当创建新版本时。
`bypass`	只要此标头名称出现在源站的 `Vary` 响应中，就绕过缓存。	按用户的值，或包含太多可能值以至于无法安全缓存的标头。

优势

更高的缓存命中率：normalize 将语义上等效的标头视为一个版本。例如，Accept-Language: en-US, fr;q=0.8 和 Accept-Language: fr;q=0.8, en-GB 都解析为相同的缓存键，因此您可以从缓存而非源站提供更多请求的服务。
正确的内容协商：请求始终接收与其标头相匹配的缓存版本，从而使语言和格式变体保持准确。
无需更改源站或 Worker：如果您的源站已经发送 Vary，您完全可以在缓存规则（Cache Rules）中配置该行为。
符合标准：缓存键计算遵循 RFC 9111，并且 Vary: * 像 RFC 9110 要求的那样继续绕过缓存。

可用性

缓存规则中的 Vary 适用于所有计划（免费版、专业版、商业版和企业版）。对于 Workers 子请求中的每个请求控制，请使用 cf.vary 属性。

开始使用

在 Cloudflare 仪表板 ↗ 的 Cache（缓存） > Cache Rules（缓存规则） 下配置 Vary，或通过 Rulesets API 进行配置。要了解 Vary 如何影响缓存键以及每个操作的工作原理，请参阅 Vary 和缓存规则 Vary 设置。

Logs - Cloudflare Logs 中多个 Logpush 数据集的字段更新

Thu, 02 Jul 2026 00:00:00 GMT

Cloudflare 已更新 Logpush 数据集：

现有数据集的字段更新

Gateway DNS（新增）：AppliedMaxTTL 和 UpstreamRecordTTLs。
Gateway HTTP（新增）：Warnings。
HTTP requests（新增）：CacheLockWaitedMs。

有关每个数据集的完整字段定义，请参阅 Logpush 数据集。

Cloudflare Mesh, Cloudflare One - Cloudflare Mesh 的主机名路由

Thu, 02 Jul 2026 00:00:00 GMT

除了 CIDR 路由之外，您现在还可以向 Cloudflare Mesh 节点添加主机名路由。

Client device
Requests wiki.internal.local
DNS query
Cloudflare Gateway
Returns a token IP, then rewrites the destination to the real private IP.
100.80.0.0/16
Hostname route
Mesh node
Forwards traffic to the host on the local network
↓
Private host
wiki.internal.local · 10.0.0.50

您可以通过将主机名的流量引导到 Mesh 节点来代替管理 IP 范围：

私有主机名（例如 wiki.internal.local）—— 通过名称访问内部应用程序，这在它具有未知或临时 IP 时非常有用。在 Mesh 上，您不需要运行 DNS 服务器；只需节点上的本地 hosts 文件条目即可，或者您可以使用 Gateway 解析器策略进行 split DNS。
公共主机名（例如 www.example.com）—— 通过该节点路由该主机名的流量，并经由该节点的公共 IP 出站。

Go to Mesh ↗

有关设置步骤、先决条件和 DNS 选项，请参阅主机名路由。

Workers - 使用 Wrangler 身份验证配置文件（auth profiles）跨多个账户工作

Thu, 02 Jul 2026 00:00:00 GMT

Wrangler CLI 现在支持身份验证配置文件（auth profiles）：命名登录，您可以将其范围限制为特定的 Cloudflare 账户，并根据您正在工作的目录自动在它们之间进行切换。

配置文件（profile）是绑定到目录的命名 OAuth 登录。在该目录及其子目录中运行的命令将使用匹配的账户 —— 这样您就可以在账户之间切换，而无需重新运行 wrangler login。

当您在代理机构工作时，使用配置文件为每个客户保留单独的登录，或者将暂存（staging）和生产（production）环境分隔到不同的账户中。在您的 Wrangler 配置文件中将配置文件与 account_id 配对，这样命令就不会访问到错误的账户。

# 为每个账户创建一个配置文件，选择它能访问的账户
wrangler auth create client-a
wrangler auth activate client-a ~/clients/client-a

wrangler auth create client-b
wrangler auth activate client-b ~/clients/client-b

使用 --profile 标志以特定配置文件运行单个命令：

wrangler deploy --profile personal

在 CI 和其他自动化环境中，CLOUDFLARE_API_TOKEN 仍然优先于所有配置文件。

有关设置、解析顺序和完整命令参考，请参阅身份验证配置文件（Authentication profiles）。

Cloudflare One Client - Cloudflare One Client for Linux (version 2026.6.836.0)

Wed, 01 Jul 2026 19:48:17 GMT

A new GA release for the Linux Cloudflare One Client is now available on the stable releases downloads page.

This package is the same release as 2026.6.822.0, with a fix for our RPM package. Previously the repository served a single build to every OS version, so an install could pull a dependency that isn't available on that release. The repository now serves the correct build for each operating system version, so installs automatically pull the dependencies that version requires. Debian and Ubuntu were not affected.

If you installed version 2026.6.822.0 on an RPM-based distribution, we recommend refreshing your repository configuration:

sudo curl -fsSL https://pkg.cloudflareclient.com/cloudflare-warp-ascii.repo | sudo tee /etc/yum.repos.d/cloudflare-warp.repo
sudo dnf clean all
sudo dnf install cloudflare-warp

Access - 修复单页应用程序的重定向 URL 片段（fragment）编码

Wed, 01 Jul 2026 00:00:00 GMT

Access 现在在登录后将用户重定向回应用程序时，能够正确保留 URL 片段（fragment）字符（/、?、=、&、;）。以前，这些字符是使用 encodeURIComponent 进行编码的，这会破坏单页应用程序（SPA）使用的基于片段的路由。

例如，像 https://app.example.com/#/dashboard?tab=settings&view=advanced 这样的 SPA URL 以前在登录后会重定向到一个损坏的 URL。这现在已得到正确处理。

如果您的 SPA 用户在通过 Access 进行身份验证后遇到导航损坏的问题，此修复将解决该问题，而无需进行任何配置更改。

Access - 用于基础设施应用程序的独立 MFA

Wed, 01 Jul 2026 00:00:00 GMT

Access for Infrastructure 现在支持使用 YubiKey PIV 密钥对 SSH 连接实施独立多因素身份验证（MFA）。这为 SSH 访问添加了基于硬件的第二因素，确保仅凭受损的设备会话不足以访问您的服务器。

通过针对每个应用程序和每个策略的配置，您可以对敏感用户名（例如 root）强制执行 PIV 密钥身份验证，同时对其他用户名应用不同的要求。您还可以设置 MFA 会话时长，以控制用户必须重新进行身份验证的频率。

注册

用户通过应用程序启动器注册其 YubiKey PIV 密钥。有关注册说明和 SSH 客户端设置，请参阅为基础设施应用程序注册 PIV 密钥。

配置

有关设置说明，请参阅为基础设施应用程序强制执行 MFA。

Bots - 用于管理 AI 流量的新选项

Wed, 01 Jul 2026 00:00:00 GMT

并非所有 AI 流量都是相同的。现在，所有客户（包括使用免费计划的客户）都可以根据 AI 爬虫在您网站上的实际行为来对其进行管理。Cloudflare 将 AI 流量归类为三种行为，您可以对其进行独立控制：搜索 (Search)、代理 (Agent) 和训练 (Training)。这可以让您保留为您带来读者和收入的自动化流量，同时屏蔽那些只获取您内容的流量。

每种行为都对应一个真实的用例。Search（搜索） 涵盖了对您的内容进行索引以便稍后回答相关问题的爬虫，您可以期望从中获得引流流量或其他公平的补偿。Agent（代理） 涵盖代表个人实时操作的自动化活动，例如聊天获取机器人和浏览器使用代理。Training（训练） 涵盖获取您的内容以训练或微调模型的爬虫。对于每个预设，您可以选择在所有页面上屏蔽、仅在展示广告的页面上屏蔽，或选择不屏蔽。

自 2026 年 9 月 15 日起，新接入 Cloudflare 的域将获得更新的默认值：被归类为“Training（训练）”或“Agent（代理）”的机器人在显示广告的页面上将被屏蔽，而Search（搜索） 将保持允许状态。届时，结合了搜索和训练的通用爬虫将受到新的“Block Training（屏蔽训练）”默认值的影响。所有客户都可以在 9 月 15 日之前的任何时间选择退出新的默认值 ↗。

Bots - 通过 BotBase 和 Attribution Business Insights 提高对机器人流量的可见性

Wed, 01 Jul 2026 00:00:00 GMT

随着 2026 年内容独立日（Content Independence Day 2026）的到来，Enterprise Bot Management 客户获得了两个全新工具，使机器人流量更容易被查看和分析：BotBase（Cloudflare 跟踪的每个机器人的可搜索目录）以及 Attribution Business Insights（显示每个爬虫为您的业务带来的价值的仪表板）。

BotBase 是 Cloudflare 所有已知机器人和代理的目录，可直接在仪表板中访问。它显示了 Cloudflare 如何根据行为对每个机器人进行分类——Search、Agent、Training，以及其他类别（例如 Transact、Data Collection、SEO 和 Ads Verification）——以便您了解特定爬虫访问您的原因。您可以搜索和筛选完整的目录，将您自己的流量筛选到单个机器人以调查其在您的区域 (zone) 上的活动，并复制任何机器人的检测 ID 以在安全规则 (Security rules) 中对其进行精准定位。BotBase 中每个被跟踪的机器人也会发布在 Cloudflare Radar 的机器人和代理目录 ↗中。

Attribution Business Insights 专为内容所有者和业务决策者设计，使他们无需阅读规则语法即可了解哪些机器人对业务有益或有害。该仪表板会报告整个网站和每个机器人运营商在过去 24 小时、7 天或 30 天内的抓取与引流比例——将公司抓取您内容的频率与其实际引流回来的访问者数量进行对比。每个运营商都贴有 Cloudflare 更新的分类标签，以及“已允许 (Allowed)”、“已屏蔽 (Blocked)”或“部分屏蔽 (Partially blocked)”的操作状态，让利益相关者能够共享并一目了然地查看到达您网站的 AI 流量。

Containers - 在 Containers 中使用 Google Artifact Registry 镜像

Wed, 01 Jul 2026 00:00:00 GMT

Containers 现在支持 Google Artifact Registry ↗ 镜像。配置凭据后，您可以在 Wrangler 配置中使用完全限定的 Google Artifact Registry 镜像引用，而无需先将镜像推送到 Cloudflare Registry。

使用 --gar-email 提供服务账户电子邮件，并通过 stdin 用管道传输服务账户 JSON 密钥：

cat <PATH_TO_KEY> | npx wrangler containers registries configure <REGION>-docker.pkg.dev --gar-email=<SERVICE_ACCOUNT_EMAIL> --secret-name=<SECRET_NAME>

{
  "$schema": "./node_modules/wrangler/config-schema.json",
  "containers": [
    {
      "image": "<REGION>-docker.pkg.dev/<PROJECT_ID>/<REPOSITORY>/<IMAGE>:<TAG>"
    }
  ]
}

# 示例: us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
[[containers]]
image = "<REGION>-docker.pkg.dev/<PROJECT_ID>/<REPOSITORY>/<IMAGE>:<TAG>"

仅支持 *-docker.pkg.dev 主机。要配置凭据，请参阅使用私有 Google Artifact Registry 镜像。

欲了解更多信息，请参阅镜像管理。

Cloudflare Images - Images 绑定现按唯一转换计费

Wed, 01 Jul 2026 00:00:00 GMT

Images 绑定（binding）现在按唯一转换计费，这与已用于基于 URL 转换的计费模型一致。在同一个日历月内对相同源图像和参数组合的重复请求仅计算一次。

在此之前，无论图像或参数是否唯一，对绑定的每次调用都被计为一次单独的转换。有了这项改进，您可以在热点路径上调用绑定，而无需为每个单独的请求付费。

对 .info() 的调用不再计费。

欲了解更多信息，请参阅 Images 定价和 Images 绑定文档。

Vectorize - 降低向量变更的端到端延迟

Wed, 01 Jul 2026 00:00:00 GMT

我们大幅提升了 Vectorize 预写日志（WAL） ↗的吞吐量。因此，向量变更变为可查询的端到端延迟显著降低：中位延迟从 2 分钟降至 30 秒以内，p99 延迟从 5 分钟降至 2 分钟以内。

这意味着插入、upsert 和删除操作将更快地反映在查询结果中，提升语义搜索、推荐和检索增强生成（RAG）工作负载的数据新鲜度。您无需更改代码或配置即可受益于此改进。

有关更多信息，请参阅 Vectorize 文档。

WAF - WAF 发布 - 2026-07-01

Wed, 01 Jul 2026 00:00:00 GMT

此版本增加了针对 Fortinet FortiSandbox 中路径遍历缺陷（CVE-2026-39813）的针对性覆盖，并将 Anomaly:Header:User-Agent - Fake Bing or MSN Bot 规则操作从阻断转换为已禁用。

主要发现

CVE-2026-39813: Fortinet FortiSandbox 中的路径遍历漏洞，由于对用户输入的路径验证不足，允许远程、未经身份验证的攻击者从底层文件系统中读取任意文件。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Fortinet FortiSandbox - Path Traversal - CVE:CVE-2026-39813	记录	阻断	这是新的检测。
Cloudflare 托管规则集		无	Anomaly:Header:User-Agent - Fake Bing or MSN Bot	已启用	已禁用	我们将此规则的操作从阻断更改为已禁用。

Gateway, Cloudflare One, Cloudflare Fundamentals - Gateway 策略和列表的新权限与角色

Tue, 30 Jun 2026 00:00:00 GMT

您现在可以为 Cloudflare Gateway 防火墙策略和 Zero Trust 列表分配细粒度的资源作用域角色。管理员可以委派对特定策略类型或列表管理的访问权限，而无需授予账户范围或产品范围的控制权。

新增功能

当您添加成员或创建权限策略时，现在可以使用以下资源作用域角色：

角色	说明
Zero Trust Gateway Firewall Policies Admin	可以查看和编辑所有 Gateway 防火墙策略，包括 DNS、HTTP 和网络策略。
Zero Trust Gateway DNS Policies Admin	可以查看和编辑 Gateway DNS 策略。
Zero Trust Gateway HTTP Policies Admin	可以查看和编辑 Gateway HTTP 策略。
Zero Trust Gateway Network Policies Admin	可以查看和编辑 Gateway 网络策略。
Zero Trust Gateway Egress Policies Admin	可以查看和编辑 Gateway 出口策略。
Zero Trust Gateway Resolver Policies Admin	可以查看和编辑 Gateway 解析器策略。
Zero Trust Gateway Policies Admin	可以查看和编辑所有 Gateway 策略。
Zero Trust Gateway Policies Read	可以查看所有 Gateway 策略。
Zero Trust Gateway Read Only	可以查看所有 Gateway 资源。
Zero Trust DNS Locations Admin	可以查看和编辑 DNS 位置。
Zero Trust Proxy Endpoints Admin	可以查看和编辑 Gateway 代理端点。
Zero Trust Account Lists Admin	可以查看和编辑所有 Gateway 和 Access 列表。
Zero Trust Account Lists Read	可以查看所有 Gateway 和 Access 列表。

这些角色允许您：

仅向网络工程师授予网络策略的写入权限，而不暴露 DNS 或 HTTP 策略配置。
允许安全分析师以只读模式查看所有 Gateway 策略以进行审计。
将列表管理委托给维护阻止和允许列表的团队，而不授予他们访问策略配置的权限。

您现在还可以分配 资源作用域角色。这些角色是对现有账户级别角色的补充，允许您授予对特定资源（例如单个 Gateway 策略或 Cloudflare One 列表）的访问权限。现有的账户级别角色继续有效。 拥有 Cloudflare Gateway 或 Cloudflare Zero Trust 角色的成员将保留对所有 Gateway 资源的完全访问权限。这确保了与现有自动化和 API 令牌的向后兼容性。

快速入门

查看 Cloudflare 角色参考上的资源作用域角色。
了解如何创建使用这些角色的权限策略。

Logs - Logpush 中的账户范围防火墙事件数据集

Tue, 30 Jun 2026 00:00:00 GMT

Cloudflare Logpush 现在支持防火墙事件作为账户范围数据集。在账户级别配置一个 Logpush 任务，即可接收账户中每个区域的防火墙事件，而无需为每个区域单独创建和维护任务。

该数据集包含一个新的 ZoneName 字段，以便您在下游管道中处理日志时识别每个事件来自哪个区域。

可用功能

新的账户范围 firewall_events 数据集，可通过 Logpush API 或 Cloudflare 仪表板进行配置。
与现有区域范围防火墙事件数据集相同的字段和过滤表达式，另加新的 ZoneName 字段。
支持所有现有的 Logpush 目标。

Workers, Durable Objects - 在仪表板中跟踪 Workers 和 Durable Objects 的内存使用情况

Tue, 30 Jun 2026 00:00:00 GMT

您现在可以使用 Workers 指标（Metrics）选项卡中新增的 Memory Usage（内存使用情况） 图表，监控您的 Workers 和 Durable Objects 在多次调用中消耗了多少内存，图表按 P50、P90、P99 和 P999 百分位数进行了细分。

内存使用情况测量的是每次调用时的 V8 isolate 内存，受限于每个 isolate 128 MB 的限制 —— 单个 isolate 可以处理许多并发请求并在它们之间共享内存。

使用内存使用情况图表可以：

跟踪内存趋势 —— 在导致 Exceeded Memory（超出内存）错误之前，发现可能表明存在内存泄漏的渐进式内存增加。
与部署关联 —— 图表上的部署标记可帮助您确定新版本是否引入了内存回归。
合理调整您的 Worker 规模 —— 了解您的基准内存占用量，以及在达到 128 MB 限制之前您还有多少余量。

对于 Durable Objects，内存使用情况反映了对象保存的内存中状态（类属性、缓存、活动的 WebSocket 连接），该状态在多次调用之间保持不变，直到对象被休眠或逐出。在逐出、休眠或崩溃时，此状态不会保留，因此请将任何重要内容持久化保存到存储中。

要查看内存使用情况，请打开您的 Worker ↗ 或 Durable Object 命名空间 ↗ 的 Metrics（指标） 选项卡。对于 Durable Objects，您可以按 DO ID 或名称进行过滤，以深入查看特定对象的内存使用情况。您还可以通过 GraphQL Analytics API 使用 workersInvocationsAdaptive 数据集以编程方式查询内存使用情况 —— 从 quantiles.memoryUsageBytesP50 到 quantiles.memoryUsageBytesP999 的字段以字节为单位返回百分位数。

对于本地内存调试，您还可以使用 DevTools 剖析内存以获取堆快照并识别导致高内存占用的特定对象。

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.6.822.0)

Mon, 29 Jun 2026 20:05:45 GMT

A new GA release for the Windows Cloudflare One Client is now available on the stable releases downloads page.

This release introduces multiple features from our previous beta release into stable release, including:

The client now applies DNS search suffixes configured in your device profile / network policy. Administrators can push a list of DNS search domains that the client appends to single-label queries, alongside any system-configured suffixes. See DNS search suffixes for details.
Added mandatory authentication. When enabled via MDM, the Cloudflare One Client blocks all Internet traffic from the moment the machine boots until the user authenticates, closing the visibility gap on newly deployed devices and during re-authentication. See the announcement blog and documentation for details.
Upgraded security of device registration to be hardware-backed. Registration tokens can now be generated in the TPM (with TPM 2.0+) whenever it is available to provide stronger protection against device impersonation. See Hardware-backed registration for details.
Added a local-file signal source for Emergency Disconnect. In addition to the existing HTTPS polling mechanism, administrators can now configure WARP to monitor for a file on disk; the presence of the file triggers an emergency disconnect even if both Cloudflare and your own infrastructure are unreachable. Either signal being asserted triggers disconnect; both must be cleared for normal operation to resume.
Added new warp-cli debug commands for interactive connection diagnosis. See Extra debug logging for details.
The local DNS proxy now supports DNSSEC passthrough. DNSSEC-signed responses are forwarded to the application intact (including DO/AD bits and RRSIG records), so applications that validate DNSSEC locally — including resolvers and the dig/drill tooling — work correctly through the client.
Added a new MDM format for organization-wide settings, including a cleaner way to configure the compliance environment (e.g. FedRAMP). The previous per-configuration approach still works, but the new format is now recommended. See the updated Cloudflare One MDM documentation for details.
Added support for dashboard-managed client version deployments. Administrators can now upgrade or downgrade the client version on enrolled devices directly from the Zero Trust dashboard. See Client version assignments for details.

Additional Changes and improvements

Starting with 2026.6.822.0, the client unifies all API requests under the api.devices.cloudflare.com SNI, where previously both zero-trust-client.cloudflareclient.com and notifications.cloudflareclient.com were used. Review Cloudflare One Client with firewall to ensure systems that rely on SNI inspection do not block the API traffic. The behavior of previous client versions is unaffected.
Client Certificate device-posture checks now support template variables (e.g. ${serial_number}, ${device_uuid}) in the Subject Alternative Name field. Previously only the Common Name field accepted variables, which broke posture rules that pinned identity to a SAN entry.
Improved accessibility by using high contrast colors and more defined color boundaries when high contrast is enabled in Windows Accessibility settings.
Path MTU Discovery (PMTUD) is now enabled by default.
The UseWebView2 registry value (HKLM\SOFTWARE\Cloudflare\CloudflareWARP\UseWebView2 = y) is once again honored by the new GUI for authentication, so administrators who prefer the embedded WebView2 browser for sign-in can opt back in. This setting was effectively ignored in the previous release; the default browser was always used. This key is now also honored for re-authentications.
Fixed a crash in the authentication browser when navigating to a site that prompts for browser permissions (microphone, camera, notifications, etc.). The same fix had previously landed for the captive-portal browser; this extends it to the auth browser.
Fixed an issue in proxy mode where hostnames containing underscores (e.g. ai_app.com) were rejected, breaking apps that depend on such hostnames (notably ChatGPT sandbox apps). The local proxy now accepts underscore-containing hostnames in CONNECT requests.
Fixed an issue where DNS queries would fail after the connection was idle, requiring users to retry.
Fixed a high CPU issue when the device wakes from sleep.
Users can now register with team names in any case format without errors.
New UI fixes
- Fixed an issue where users with invalid MDM configurations were returned to the onboarding screen after successful authentication.
- Added a re-auth button and banner to the home screen so users don't miss it when their session expires.
- Added clear error messaging when the Cloudflare certificate needs to be installed.
- Brought back support for pausing the tunnel when connected to user-specified Wi-Fi networks for consumer users.
- New client UI now surfaces Split tunnel configuration and Local Domain Fallback configuration.
- Added ability to configure proxy mode for consumer users.
- Added back the option to quit for consumer users.

Known issues

Single sign-on in the embedded WebView2 authentication browser may fail to use the Windows primary account, prompting for an interactive sign-in.
An error indicating that Microsoft Edge can't read and write to its data directory may be displayed during captive portal login; this error is benign and can be dismissed.
In rare cases, a registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Windows ARM may prompt the user to close running applications while trying to install this version. Simply click "Ok" with the default highlighted option.

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.6.822.0)

Mon, 29 Jun 2026 20:05:45 GMT

A new GA release for the macOS Cloudflare One Client is now available on the stable releases downloads page.

This release introduces multiple features from our previous beta release into stable release, including:

The client now applies DNS search suffixes configured in your device profile / network policy. Administrators can push a list of DNS search domains that the client appends to single-label queries, alongside any system-configured suffixes. See DNS search suffixes for details.
Upgraded security of device registration to be hardware-backed. Registration tokens can now be generated in the Secure Enclave whenever available to provide stronger protection against device impersonation. See Hardware-backed registration for details.
Added a local-file signal source for Emergency Disconnect. In addition to the existing HTTPS polling mechanism, administrators can now configure WARP to monitor for a file on disk; the presence of the file triggers an emergency disconnect even if both Cloudflare and your own infrastructure are unreachable. Either signal being asserted triggers disconnect; both must be cleared for normal operation to resume.
Added new warp-cli debug commands for interactive connection diagnosis. See Extra debug logging for details.
The local DNS proxy now supports DNSSEC passthrough. DNSSEC-signed responses are forwarded to the application intact (including DO/AD bits and RRSIG records), so applications that validate DNSSEC locally — including resolvers and the dig/drill tooling — work correctly through the client.
Added a new MDM format for organization-wide settings, including a cleaner way to configure the compliance environment (e.g. FedRAMP). The previous per-configuration approach still works, but the new format is now recommended. See the updated Cloudflare One MDM documentation for details.
Added support for dashboard-managed client version deployments. Administrators can now upgrade or downgrade the client version on enrolled devices directly from the Zero Trust dashboard. See Client version assignments for details.

Additional Changes and improvements

Starting with 2026.6.822.0, the client unifies all API requests under the api.devices.cloudflare.com SNI, where previously both zero-trust-client.cloudflareclient.com and notifications.cloudflareclient.com were used. Review Cloudflare One Client with firewall to ensure systems that rely on SNI inspection do not block the API traffic. The behavior of previous client versions is unaffected.
Client Certificate device-posture checks now support template variables (e.g. ${serial_number}, ${device_uuid}) in the Subject Alternative Name field. Previously only the Common Name field accepted variables, which broke posture rules that pinned identity to a SAN entry.
Improved accessibility by using high contrast colors and more defined color boundaries when high contrast is enabled in the macOS Display settings.
Path MTU Discovery (PMTUD) is now enabled by default.
Fixed the in-client captive-portal browser rendering a blank "Success" page on some airline Wi-Fi networks. The browser now more consistently loads the airline's real portal page so users can complete sign-in from inside the client instead of having to open a separate browser.
Fixed an issue in proxy mode where hostnames containing underscores (e.g. ai_app.com) were rejected, breaking apps that depend on such hostnames (notably ChatGPT sandbox apps). The local proxy now accepts underscore-containing hostnames in CONNECT requests.
Fixed an issue where DNS queries would fail after the connection was idle, requiring users to retry.
Users can now register with team names in any case format without errors.
New UI fixes
- Fixed an issue where users with invalid MDM configurations were returned to the onboarding screen after successful authentication.
- Added a re-auth button and banner to the home screen so users don't miss it when their session expires.
- Added clear error messaging when the Cloudflare certificate needs to be installed.
- Brought back support for pausing the tunnel when connected to user-specified Wi-Fi networks for consumer users.
- New client UI now surfaces Split tunnel configuration and Local Domain Fallback configuration.
- Added ability to configure proxy mode for consumer users.
- Added back the option to quit for consumer users.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
When deploying with Microsoft Intune, the client may be repeatedly reinstalled because Intune adds the client's embedded framework bundles to its install-detection list, and those frameworks cannot be detected as installed on their own. See Repeated reinstalls on macOS with Microsoft Intune for the workaround.

Cloudflare One Client - Cloudflare One Client for Linux (version 2026.6.822.0)

Mon, 29 Jun 2026 19:21:09 GMT

A new GA release for the Linux Cloudflare One Client is now available on the stable releases downloads page.

This release introduces multiple features from our previous beta release into stable release, including:

The client now applies DNS search suffixes configured in your device profile / network policy. Administrators can push a list of DNS search domains that the client appends to single-label queries, alongside any system-configured suffixes. See DNS search suffixes for details.
Upgraded security of device registration to be hardware-backed. Registration tokens can now be generated in the TPM (with TPM 2.0+) whenever it is available to provide stronger protection against device impersonation. See Hardware-backed registration for details.
Added a local-file signal source for Emergency Disconnect. In addition to the existing HTTPS polling mechanism, administrators can now configure WARP to monitor for a file on disk; the presence of the file triggers an emergency disconnect even if both Cloudflare and your own infrastructure are unreachable. Either signal being asserted triggers disconnect; both must be cleared for normal operation to resume.
Added new warp-cli debug commands for interactive connection diagnosis. See Extra debug logging for details.
The local DNS proxy now supports DNSSEC passthrough. DNSSEC-signed responses are forwarded to the application intact (including DO/AD bits and RRSIG records), so applications that validate DNSSEC locally — including resolvers and the dig/drill tooling — work correctly through the client.
Added a new MDM format for organization-wide settings, including a cleaner way to configure the compliance environment (e.g. FedRAMP). The previous per-configuration approach still works, but the new format is now recommended. See the updated Cloudflare One MDM documentation for details.

Additional changes and improvements

Starting with 2026.6.822.0, the client unifies all API requests under the api.devices.cloudflare.com SNI, where previously both zero-trust-client.cloudflareclient.com and notifications.cloudflareclient.com were used. Review Cloudflare One Client with firewall to ensure systems that rely on SNI inspection do not block the API traffic. The behavior of previous client versions is unaffected.
Cloudflare Mesh functionality using the Cloudflare One Client is now supported on RHEL 9 and 10.
Cloudflare Mesh now supports hostname-based routing.
Client Certificate device-posture checks now support template variables (e.g. ${serial_number}, ${device_uuid}) in the Subject Alternative Name field. Previously only the Common Name field accepted variables, which broke posture rules that pinned identity to a SAN entry.
Improved accessibility by using high contrast colors and more defined color boundaries when high contrast is enabled in the system display settings.
Path MTU Discovery (PMTUD) is now enabled by default.
Fixed the in-client captive-portal browser rendering a blank "Success" page on some airline Wi-Fi networks. The browser now more consistently loads the airline's real portal page so users can complete sign-in from inside the client instead of having to open a separate browser.
Fixed an issue in proxy mode where hostnames containing underscores (e.g. ai_app.com) were rejected, breaking apps that depend on such hostnames (notably ChatGPT sandbox apps). The local proxy now accepts underscore-containing hostnames in CONNECT requests.
Fixed an issue where DNS queries would fail after the connection was idle, requiring users to retry.
Fixed an issue where some Debian releases experienced inaccurate version reporting for posture checks.
Users can now register with team names in any case format without errors.
New UI fixes
- Fixed an issue where users with invalid MDM configurations were returned to the onboarding screen after successful authentication.
- Added a re-auth button and banner to the home screen so users don't miss it when their session expires.
- Added clear error messaging when the Cloudflare certificate needs to be installed.
- Brought back support for pausing the tunnel when connected to user-specified Wi-Fi networks for consumer users.
- New client UI now surfaces Split tunnel configuration and Local Domain Fallback configuration.
- Added ability to configure proxy mode for consumer users.
- Added back the option to quit for consumer users.

For RHEL deployments, this release introduces a dependency on the Extra Packages for Enterprise Linux repository (EPEL). The EPEL repository provides packages that support the captive portal detection’s in-app browser authentication and system tray icon. See Getting started with EPEL for instructions on enabling EPEL.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.

Workers - Workers fetch 请求现在支持 cf.vary

Sun, 28 Jun 2026 00:00:00 GMT

Workers fetch() 请求现在支持 cf.vary 请求选项。使用 cf.vary 可以控制 Cloudflare 如何为单个子请求缓存具有 Vary 标头的源服务器响应。

src/index.jsjs

export default {
	async fetch(request) {
		return fetch(request, {
			cf: {
				vary: {
					default: { action: "bypass" },
					headers: {
						accept: {
							action: "normalize",
							media_types: ["text/html", "application/json"],
						},
						"accept-language": {
							action: "normalize",
							languages: ["en", "fr", "de"],
						},
					},
				},
			},
		});
	},
};

src/index.tsts

export default {
	async fetch(request): Promise<Response> {
		return fetch(request, {
			cf: {
				vary: {
					default: { action: "bypass" },
					headers: {
						accept: {
							action: "normalize",
							media_types: ["text/html", "application/json"],
						},
						"accept-language": {
							action: "normalize",
							languages: ["en", "fr", "de"],
						},
					},
				},
			},
		});
	},
} satisfies ExportedHandler;

有关更多信息，请参阅 cf.vary。

Agents, Workers - Agents SDK 添加了后台子 agent 和统一的轮次入口点

Fri, 26 Jun 2026 00:00:00 GMT

Agents SDK ↗ 的最新版本使得在后台运行长时间工作、通过一个入口点驱动轮次以及让聊天 agent 在部署、驱逐和重新连接期间保持正常工作变得更加容易。

此版本添加了一等的独立（后台）子 agent 运行（具有实时进度和持久里程碑）、单个 runTurn 轮次准入入口点，以及大量的恢复和可靠性修复，这些修复继续将 @cloudflare/think 和 @cloudflare/ai-chat 收敛到同一个模型上。

具有进度和里程碑的后台子 agent

runAgentTool 现在可以派发一个子 agent，而不会阻塞调用轮次。独立的运行会立即返回一个句柄，并由一个持久的、在驱逐中存活的骨干（backbone）所拥有，而不是在派发轮次结束时被放弃。

class OrdersAgent extends Think {
	async startImport(input) {
		// Fire-and-forget, or wire a durable completion callback
		// (by method name, like schedule()):
		await this.runAgentTool(ImportAgent, {
			input,
			detached: { onFinish: "onImportDone", maxBudgetMs: 60 * 60 * 1000 },
		});
	}

	// result.status: "completed" | "error" | "aborted" | "interrupted"
	async onImportDone(run, result) {}
}

class OrdersAgent extends Think {
	async startImport(input) {
		// Fire-and-forget, or wire a durable completion callback
		// (by method name, like schedule()):
		await this.runAgentTool(ImportAgent, {
			input,
			detached: { onFinish: "onImportDone", maxBudgetMs: 60 * 60 * 1000 },
		});
	}

	// result.status: "completed" | "error" | "aborted" | "interrupted"
	async onImportDone(run, result) {}
}

亮点：

持久的、在正常路径上仅执行一次的完成：通过热快速路径以及一个在驱逐和部署中存活的自调度对齐骨干。
有边界。 绝对的 maxBudgetMs 上限（默认 24 小时）和 cancelAgentTool(runId) 可以防止被放弃的运行永远占用并发槽位。
detached: { notify: true } 允许已完成的后台运行将消息注入回聊天中，以便模型对结果做出反应 —— 无需手动连接 onFinish。

子 agent 还可以报告运行中进度，这些进度会通过它们自己的轮次流返回到父级连接的客户端：

// Inside the child sub-agent:
await this.reportProgress({
	fraction: 0.6,
	phase: "deploying",
	message: "Generating menu page…",
});

// Inside the child sub-agent:
await this.reportProgress({
	fraction: 0.6,
	phase: "deploying",
	message: "Generating menu page…",
});

进度通过 useAgentToolEvents 呈现在 AgentToolRunState.progress 上，因此后台运行托盘（tray）可以渲染实时进度条而无需深入查看，并且最新快照会被持久化以便在驱逐后进行检查。命名一个 milestone（里程碑）会将一个信号提升为持久的、可重放的行，并且 detached: { onMilestones } 可以将里程碑呈现为合成聊天消息（对于简单的状态行使用 "narrate"，或者使用 "react" 来驱动模型轮次）。

轮次的单一入口点：`runTurn`

@cloudflare/think 添加了一个公共 runTurn(options) 外观（facade），将轮次准入统一在单个 mode 后面：

await this.runTurn({ mode: "wait", messages }); // saveMessages / continueLastTurn
await this.runTurn({ mode: "submit", messages }); // durable submitMessages
await this.runTurn({ mode: "stream", messages }); // chat()

await this.runTurn({ mode: "wait", messages }); // saveMessages / continueLastTurn
await this.runTurn({ mode: "submit", messages }); // durable submitMessages
await this.runTurn({ mode: "stream", messages }); // chat()

stream 模式接受数组和函数输入以匹配 wait 模式，所有入口点现在都通过共享的内部准入路径进行路由，该路径在之前可能导致死锁的嵌套阻塞准入上会抛出清晰的错误。

恢复和可靠性

此版本的很大一部分继续强化恢复，并将 @cloudflare/think 和 @cloudflare/ai-chat 收敛到同一个模型上：

流停滞看门狗。 AIChatAgent 可以通过选择启用的 chatStreamStallTimeoutMs 看门狗检测并从挂起的模型/传输流中恢复。启用 chatRecovery 后，停滞将路由到部署或驱逐使用的相同有界恢复机制中；否则，它会作为终端流错误显现，以便清除加载指示器。
中断的工具调用修复。 AIChatAgent 现在在重新进入推理之前会修复带有已死服务器工具调用的脚本（与 @cloudflare/think 保持一致），因此恢复的轮次不再因 AI_MissingToolResultsError 而失败。可重写的 repairInterruptedToolPart(part) Hook 允许应用程序自定义修复后的形状。
重连后状态卡住。 修复了当重连与已接受但尚未开始流式传输的轮次发生竞态时，AI SDK status 卡住的问题，因此 UI 现在会渲染进行中的轮次，而不是卡在 ready。
连接时的实时 “recovering…”。 AIChatAgent 现在会将恢复状态回放到在恢复途中连接的客户端，因此 useAgentChat 的 isRecovering 会立即反映进行中的恢复，而不是显得冻结。
终端连接失败。 客户端在终端 WebSocket 关闭事件上停止重新连接，并通过 AgentClient、useAgent 和 useAgentChat 上的 connectionError / onConnectionError 暴露它们。
Agent-tool 子节点恢复。 在部署后，健康的长期运行子 agent 运行不再被作为 interrupted（中断）放弃（对于 @cloudflare/think 和 AIChatAgent 皆是如此）。
来自子 agent 侧面（facets）的 Workflow。 Agent Workflows 现在可以从子 agent 侧面（facets）开始，回调和 Workflow RPC 会被路由回源侧面。
此外还有前向进度信用收敛、广播优先放弃顺序、事件驱动的自动继续屏障，以及 AIChatAgent 中的结构化行大小压缩。

其他改进

共享聊天 React 核心。 新的 agents/chat/react 入口暴露了 useAgentChat、传输辅助函数和共享线缆（wire）类型，具有用于服务器权威脚本存储的 syncMessagesToServer。@cloudflare/think/react and @cloudflare/ai-chat/react 现在只是它的薄包装器。
可选的 ai 同级依赖。 根 agents and @cloudflare/codemode 运行时不再引用 AI SDK 类型，因此它们可以在不安装 ai / zod 的情况下打包；特定于 AI 的入口点在导入时仍然需要同级依赖。just-bash 同样移动到了仅由 skills bash 运行器使用的可选同级依赖中。
Code Mode。 默认的 DynamicWorkerExecutor 超时时间从 30 秒增加到 60 秒，每次运行后现在会销毁动态加载的 Worker 及其 RPC 存根（stub）（修复了不稳定的隔离区关闭断言），连接器导入已被清理，并且外部 MCP 工具调用上下文会被传递给 openApiMcpServer 请求回调。
Voice。 Voice 轮次现在支持 AI SDK fullStream 响应（并在使用 textStream 时发出警告）。
MCP。 McpAgent 服务器到客户端的请求现在可以从不继承 agent 异步上下文的回调中发送，包括通过 Worker Loader RPC 到达的回调。
实验性：服务器操作和通道。 此版本为受保护的服务器操作（带有持久重放账本和批准的 action() / getActions()）和统一的通道表面（configureChannels()、deliverNotice()）奠定了基础。两者都是实验性的，它们的 API 可能会发生变化，因此我们目前不建议依赖它们。

升级

要更新到最新版本：

npm i agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/voice@latest

yarn add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/voice@latest

pnpm add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/voice@latest

bun add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest @cloudflare/codemode@latest @cloudflare/voice@latest

有关更多信息，请参阅 Think 文档、Code Mode 文档和 Agents 文档。

Cloudflare One, Access - MCP 服务端门户支持 Service token

Fri, 26 Jun 2026 00:00:00 GMT

您现在可以使用 Access service token 将自主 Agent 和机器人连接到 MCP 服务端门户。Service token 会话可以通过门户访问上游 MCP 服务端，而无需基于浏览器的 OAuth 流程。

要进行此设置：

将与您的 service token 匹配的 Service Auth 策略添加到门户的 Access 应用程序。
将与相同 token 匹配的 Service Auth 策略添加到每个关联的 MCP 服务端的 Access 应用程序。
将每个关联服务端的 **Require user auth（需要用户身份验证）**关闭（on_behalf: false），以便门户使用管理员凭证，而不是每个用户的 OAuth 授权。

机器人使用 CF-Access-Client-Id 和 CF-Access-Client-Secret 请求头进行连接，并可以看到其获得授权的每个关联服务端中的工具。仍然需要每个用户 OAuth 的服务端将被排除在 service token 会话之外，因为 service token 无法完成每个用户的 OAuth 授权。

有关逐步设置，请参阅使用 service token 进行连接。

Durable Objects, Workers - Durable Objects 新增 `us` 管辖区（Jurisdiction）

Fri, 26 Jun 2026 00:00:00 GMT

Durable Objects 现在支持 us 管辖区（jurisdiction），允许您创建仅在美国境内运行并存储数据的 Durable Objects。当您需要将 Durable Object 的计算和存储保留在美国境内以满足数据驻留要求时，请使用 us 管辖区。

像使用任何其他管辖区一样，创建一个受限于 us 管辖区的命名空间：

// Worker
export default {
	async fetch(request, env) {
		const usSubnamespace = env.MY_DURABLE_OBJECT.jurisdiction("us");
		const stub = usSubnamespace.getByName("general");
		return stub.fetch(request);
	},
};

Workers 仍可从世界任何地方访问受限于 us 管辖区的 Durable Objects。管辖区限制仅控制 Durable Object 本身在何处运行和持久化数据。

如需查看支持的管辖区的完整列表，请参阅数据位置 — 限制 Durable Objects 至特定管辖区。

Cloudflare Fundamentals - 按名称搜索 API 令牌

Thu, 25 Jun 2026 00:00:00 GMT

您现在可以按名称搜索 API 令牌，从而更容易在庞大的令牌列表中查找特定令牌，而无需手动分页。

新增功能

仪表板搜索：账户 API 令牌 ↗和用户 API 令牌 ↗页面现在都包含一个搜索栏。输入名称即可过滤结果。
API 搜索支持：/user/tokens 和 /accounts/{account_id}/tokens 端点现在接受 name 查询参数，以按名称过滤令牌。

有关更多信息，请参阅创建 API 令牌和账户拥有的 API 令牌。

Durable Objects, Workers - 使用新的 cloudflare:test 辅助函数测试 Durable Object 逐出（eviction）

Thu, 25 Jun 2026 00:00:00 GMT

@cloudflare/vitest-pool-workers 包现在包含了从 cloudflare:test 导出的 evictDurableObject 和 evictAllDurableObjects 测试辅助函数。

这些辅助函数允许您测试 Durable Object 在逐出发生时的行为，模拟闲置 Durable Object 从内存中逐出的实际生产生命周期。

有关更多背景信息，请参阅 Durable Object 的生命周期。

import { evictDurableObject, evictAllDurableObjects } from "cloudflare:test";
import { env } from "cloudflare:workers";

const id = env.COUNTER.idFromName("my-counter");
const stub = env.COUNTER.get(id);

// 逐出特定 stub 所指向的 Durable Object 实例
await evictDurableObject(stub);

// 关闭 WebSockets 而不是将它们休眠
await evictDurableObject(stub, { webSockets: "close" });

// 逐出当前在可逐出命名空间中运行的所有 Durable Objects
await evictAllDurableObjects();

这些辅助函数在 @cloudflare/vitest-pool-workers@0.16.20 及更高版本中可用。

请在测试 API 参考和测试 Durable Objects 指南中了解更多信息。

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.6.782.1)

Wed, 24 Jun 2026 18:35:32 GMT

A new Beta release for the macOS Cloudflare One Client is now available on the beta releases downloads page.

This beta release introduces upgraded security of device registration to be hardware-backed. Registration tokens can now be generated in the Secure Enclave whenever available to provide stronger protection against device impersonation.

Additional changes and improvements

This release also introduces multiple fixes and improvements including:

Improved accessibility by using high contrast colors and more defined color boundaries when high contrast is enabled in the macOS Display settings.
Path MTU Discovery (PMTUD) is now enabled by default.
Fixed an issue where DNS queries would fail after the connection was idle, requiring users to retry.
Users can now register with team names in any case format without errors.
New UI fixes
- Fixed an issue where users with invalid MDM configurations were returned to the onboarding screen after successful authentication.
- Added a re-auth button and banner to the home screen so users don't miss it when their session expires.
- Added clear error messaging when the Cloudflare certificate needs to be installed.
- Brought back support for pausing the tunnel when connected to user-specified Wi-Fi networks for consumer users.
- New client UI now surfaces Split tunnel configuration and Local Domain Fallback configuration.
- Added ability to configure proxy mode for consumer users.
- Added back the option to quit for consumer users.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.

AI Search - 控制 AI Search 相似性缓存新鲜度

Wed, 24 Jun 2026 00:00:00 GMT

AI Search 现在让您能够更好地控制相似性缓存新鲜度。相似性缓存通过重用语义相似查询的响应，有助于降低延迟和推理成本。

通过这些更新，您可以选择允许重用响应的时间长度，并在缓存的响应可能过时时将其清除。

缓存持续时间现在默认为 48 小时

以前，AI Search 缓存响应的固定时间为 30 天。缓存的响应现在使用实例的 cache_ttl 设置，默认值为 48 小时。

您可以在创建或更新实例时设置 cache_ttl，以选择从 10 分钟到 6 天不等的缓存持续时间。

当您的源内容变化频繁且新鲜度更重要时，请使用较短的 TTL。当您的内容稳定且您希望更多地重用缓存时，请使用较长的 TTL。

例如，将 cache_ttl 设置为 518400 以将缓存的响应保留 6 天：

{
	"cache_ttl": 518400
}

清除缓存响应

您还可以按需清除实例的所有缓存响应。清除缓存响应不会删除已索引的内容或源文件。

这会阻止 AI Search 重用以前缓存的响应，因此后续的相似查询会生成新鲜的答案并重新填充缓存。

curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/ai-search/instances/$INSTANCE_NAME/purge_cache" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

您还可以从 Cloudflare 仪表板中的实例设置页面清除缓存响应。

请参阅相似性缓存以获取支持的 cache_ttl 值的完整列表以及有关缓存行为的更多详细信息。

Audit Logs - 审核日志（第 2 版）— Cloudflare 仪表板中的组织级审核日志

Wed, 24 Jun 2026 00:00:00 GMT

作为组织超级管理员，除现有的 API 访问外，您现在还可以在 Cloudflare 仪表板中查看组织级审核日志。

组织审核日志可帮助您监控整个组织内的活动。您可以查看谁执行了操作、更改了什么、发生的时间、操作方式以及操作是成功还是失败。

您可以按操作者 (actor)、操作、结果、资源、请求详细信息和时间戳对日志进行过滤和搜索。使用这些日志来排查变更、调查异常访问并支持安全或合规工作流。

如果您正在查看账户级审核日志，且该账户属于您作为组织超级管理员的组织，请选择 View Organization Audit Logs（查看组织审核日志） 以打开父组织的审核日志。

要开始使用，请前往 Organizations（组织），选择您的组织，然后前往 Manage Organization（管理组织） > Audit Logs（审核日志）。

有关更多信息，请参阅审核日志文档。

Logs - 新的 WebSocket Analytics Logpush 数据集及字段更新

Wed, 24 Jun 2026 00:00:00 GMT

Cloudflare 已更新 Logpush 数据集：

新数据集

WebSocket Analytics：新数据集，字段包括 BytesReceivedClient、BytesReceivedOrigin、BytesSentClient、BytesSentOrigin、ClientASN、ClientIP、ClientRequestHost、ClientRequestPath、ClientRequestUserAgent、ColoCode、ConnectionCloseReason、ConnectionCloseSource、ConnectionID、ConnectionTransportCloseCode、EdgeEndTimestamp、EdgeStartTimestamp 和 RayID。

现有数据集的字段更新

Firewall events（新增）：ZoneName。Firewall events 数据集现在也支持账户范围的 Logpush，是对现有区域范围的补充。
Email Security Alerts（新增）：BCC、DKIMResult、DMARCPolicy、DMARCResult 和 SPFResult。

有关每个数据集的完整字段定义，请参阅 Logpush 数据集。

Radar - Cloudflare Radar IP 页面精确定位及更丰富的 AS 详情

Wed, 24 Jun 2026 00:00:00 GMT

Radar 现在可在 IP 页面 ↗上标注您的 IPv4 和 IPv6 位置，显示为您提供服务的 Cloudflare 数据中心，并提供更多关于您主要 IP 所属自治系统（AS）的详情。

地图上的 IP 位置

连接地图现在显示：

IP 位置标记 — 主 IP 显示为红色标记。当两个 IP 地址地理定位到不同位置时，会出现蓝色第二标记，并附注说明 IPv4 和 IPv6 可能解析到不同位置的原因。
Cloudflare 数据中心标记 — Cloudflare 数据中心现以橙色点显示在地图上，您所连接的数据中心会被高亮显示。
数据中心连接线 — 每条线将您的 IP 标记与其对应的数据中心相连。

由于地理位置提供商的数据政策，此详细位置信息仅适用于您自己的 IP。其他 IP 地址仍使用当前的国家级视图。

扩展的 AS 信息

IP 页面上的 AS 卡片现在显示 IP 所属网络的更多详情——包括备用名称、运营商网站以及 AS 用户数量估计——以及 AS 编号和国家。

访问 Cloudflare Radar IP 页面 ↗，探索有关您 IP 的更多详情。

Workflows - Workflows 回滚处理程序现在包含步骤上下文

Tue, 23 Jun 2026 12:00:00 GMT

Workflows 使构建可靠的多步骤应用程序变得更加容易，这些应用程序能够在下游系统故障时恢复。回滚处理程序现在通过 ctx 对象接收正在回滚的步骤的原始步骤上下文。这包括 ctx.step.name、ctx.step.count、ctx.attempt 以及应用了默认值的步骤 config。

步骤配置包含用于该步骤的重试和超时设置，因此您可以根据这些字段自定义步骤恢复逻辑。

await step.do(
	"create charge",
	async () => {
		const charge = await createCharge();
		return { chargeId: charge.id };
	},
	{
		rollback: async ({ ctx, output, error }) => {
			// `output` 是被回滚步骤返回的值。
			const { chargeId } = output as { chargeId: string };
			await refundCharge(chargeId, {
				// `ctx` 是原始步骤上下文，包括步骤名称、计数、尝试次数和配置。
				reason: `${ctx.step.name}: ${error.message}`,
			});
		},
		rollbackConfig: {
			// `rollbackConfig` 控制回滚处理程序的重试和超时。
			retries: { limit: 3, delay: "30 seconds", backoff: "linear" },
			timeout: "5 minutes",
		},
	},
);

请参阅回滚选项了解更多信息。

Data Localization Suite - 针对 Regional Services 的 Regionalized IP Bindings

Tue, 23 Jun 2026 00:00:00 GMT

Regional Services 现在支持 Regionalized IP Bindings，让您能够针对通过 Bring Your Own IP (BYOIP) 引入 Cloudflare 的前缀在 IP 层实现流量区域化。

Regional Hostnames 是按主机名对流量进行区域化，而 Regionalized IP Bindings 允许您将来自前缀之一的 CIDR 绑定（binding）到某个区域 —— 这非常适合地址映射部署以及任何您通过 IP 而非主机名寻址的服务。然后，Cloudflare 会在 TLS 终止后，仅在该区域的数据中心内处理发往这些地址的流量。

Regionalized IP Bindings 需要 Regional Services 和 Regional Services for BYOIP 的授权。请联系您的账户团队以启用它们。

要开始使用，请参阅 Regionalized IP Bindings。

Speed - Cloudflare AMP/SXG 现已生命周期结束。

Tue, 23 Jun 2026 00:00:00 GMT

Cloudflare 加速移动页面（AMP）和签名交换（SXG）支持已达生命周期终点。这些功能自 2025 年 10 月起就已被禁用，因此配置了这些功能的客户应该不会看到其流量有任何变化。

客户将无法再通过 API 或规则集配置 AMP/SXG。Zone API 将开始报错。包含 SXG 配置的规则集在移除 SXG 之前将无法保存。

WAF - WAF 发布 - 2026-06-23

Tue, 23 Jun 2026 00:00:00 GMT

本周的发布引入了新的托管防护，以解决 Ivanti Sentry 中的关键身份验证前 OS 命令注入漏洞（CVE-2026-10520）。

主要发现

CVE-2026-10520: Ivanti Sentry 中的 OS 命令注入漏洞允许远程、未经身份验证的攻击者以 root 权限执行任意系统命令。该缺陷源于内部配置处理期间解析的输入字符串清理不当。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Ivanti Sentry - Command Injection - CVE:CVE-2026-10520	记录	阻断	这是新的检测。

R2 SQL - R2 SQL 现在支持窗口函数、DISTINCT 和集合操作

Mon, 22 Jun 2026 00:00:00 GMT

R2 SQL 现在支持窗口函数、SELECT DISTINCT、集合操作和更多聚合，使得编写分析查询变得更加容易，而无需在其他地方预处理数据。

R2 SQL 是 Cloudflare 的无服务器分布式 SQL 引擎，用于查询存储在 R2 Data Catalog 中的 Apache Iceberg ↗ 表。

新功能

窗口函数 — ROW_NUMBER、RANK、DENSE_RANK、PERCENT_RANK、CUME_DIST、NTILE、LAG、LEAD、FIRST_VALUE、LAST_VALUE、NTH_VALUE，以及带有 OVER (...) 子句的聚合，包括 PARTITION BY 和显式窗口范围（frames）
QUALIFY — 根据窗口函数结果过滤行
DISTINCT — SELECT DISTINCT、DISTINCT ON (...) 以及聚合上的 DISTINCT 修饰符（例如 COUNT(DISTINCT ...)）
集合操作 — UNION、UNION ALL、INTERSECT 和 EXCEPT
分组扩展 — GROUPING SETS、ROLLUP 和 CUBE
精确聚合 — MEDIAN、PERCENTILE_CONT、ARRAY_AGG 和 STRING_AGG

示例

使用窗口函数对行进行排名

SELECT customer_id, region,
       ROW_NUMBER() OVER (PARTITION BY region ORDER BY total_amount DESC) AS rank_in_region
FROM my_namespace.sales_data

使用 QUALIFY 进行过滤

SELECT customer_id, region, total_amount
FROM my_namespace.sales_data
QUALIFY ROW_NUMBER() OVER (PARTITION BY region ORDER BY total_amount DESC) <= 3

使用集合操作组合表

SELECT customer_id FROM my_namespace.sales_data
EXCEPT
SELECT customer_id FROM my_namespace.archived_sales

不支持具名 WINDOW 子句 — 请在每个调用点内联 OVER (...) 规范。有关完整语法参考，请参阅 SQL 参考。有关支持的功能和性能指南，请参阅限制与最佳实践。

Cloudflare Mesh, Cloudflare Tunnel, Cloudflare WAN, Cloudflare One - 在仪表板中通过单页面管理您的所有路由

Fri, 19 Jun 2026 00:00:00 GMT

Cloudflare 仪表板中的 **Routes（路由）**页面现在在单个表格中显示您所有连接器的路由——包括 Cloudflare Mesh 和 Cloudflare Tunnel 路由，以及 Cloudflare WAN 和 Magic Transit 静态路由，而不是每个产品分别显示独立的路由视图。

在统一的 Routes 页面中，您可以：

通过交互式地图可视化您的网络，该地图显示了您的目的地如何流向您的连接器——包括由多个连接器提供相同前缀服务的等价多路径（ECMP）路由。选择一个节点以过滤表格以显示其后面的路由。
在单个表格中查看每条路由，及其目的地、类型、连接器、优先级和来源，并进行过滤或排序以找到您需要的内容。
创建、编辑和删除路由（支持任何受支持的类型），而无需离开页面。添加 Cloudflare WAN 或 Magic Transit 静态路由时，您现在可以通过连接器名称选择下一跳，而无需输入其 IP。
在专用选项卡中管理虚拟网络。
测试路由，以便在提交更改之前查看目的地解析为哪个连接器和下一跳。

要找到它，请前往仪表板侧边栏中的 Networking（网络） > Routes（路由）。

Go to Routes ↗

您现有的路由、API 和配置保持不变——这是一个将它们聚集在一个地方的仪表板体验。了解如何添加路由和管理虚拟网络。

Durable Objects, Workers - 新增亚太地区位置提示：apac-ne 和 apac-se

Fri, 19 Jun 2026 00:00:00 GMT

Durable Objects 现在支持两个针对亚太地区的新位置提示：apac-ne（东北亚）和 apac-se（东南亚）。当您希望在亚太地区内进行更细粒度的托管放置，而不是使用更宽泛的 apac 提示时，请使用 apac-ne 或 apac-se。

像使用任何其他 locationHint 一样使用这些新提示：

// 东北亚（日本、韩国等）
const stubNE = env.MY_DURABLE_OBJECT.get(id, { locationHint: "apac-ne" });

// 东南亚（新加坡、印度尼西亚等）
const stubSE = env.MY_DURABLE_OBJECT.get(id, { locationHint: "apac-se" });

如果您的用户分布在整个亚太地区，现有的 apac 提示仍是正确的选择。只有当您的流量明显集中在某一个子区域，且您希望将该受众的往返时间降至最低时，才使用 apac-ne 或 apac-se。默认行为以及我们通常建议的做法是，除非绝对需要，否则不添加位置提示，这将在尽可能靠近发起请求的地方创建 Durable Object 以减少延迟。

与所有位置提示一样，这些都是尽力而为的建议。Cloudflare 会将 Durable Object 放置在附近的数据中心，而不一定是提示的确切位置。

如需查看支持的提示的完整列表，请参阅数据位置 — 提供位置提示。

Durable Objects - 出站连接使 Durable Objects 保持存活

Fri, 19 Jun 2026 00:00:00 GMT

现在，通过 connect() 或出站 WebSocket 创建的活动出站连接在持续期间，Durable Objects 将保持存活。此前，即使对象具有打开的出站连接，Durable Object 也会在 70-140 秒无入站流量后被逐出，而这在使用 TCP 或出站 WebSocket 从大型语言模型 (LLM) 流式传输响应时是一种常见模式。

通过此更改，每个活动的出站连接都可以防止被逐出。一旦所有出站连接关闭，在 Durable Object 被逐出之前将适用标准的 70-140 秒空闲窗口。

更改前：流式传输连接因逐出而中断

更改后：活动的出站连接使 Durable Object 保持存活

如果您正在 Cloudflare 上构建智能体（Agent），这一点尤为重要。在调用模型时从 LLM 流式传输 Token 的智能体，或者通过出站连接执行长时间运行的任务的智能体，现在会在该连接持续期间保持存活，而不是在中途被逐出。

限制：

每个出站连接最多可使 Durable Object 保持存活 15 分钟。15 分钟后，该连接将不再防止逐出（连接本身将继续运行），并恢复标准逐出规则。
Durable Object 现有的每个账户实例限制仍然适用。

欲了解更多信息，请参阅 Durable Object 的生命周期。

Workers - 适用于 AI 智能体（agent）部署的临时账户

Fri, 19 Jun 2026 00:00:00 GMT

AI 智能体（agent）现在可以直接向 Cloudflare 部署 Workers，而无需用户先进行注册、打开基于浏览器的 OAuth 流程、点击仪表板或创建 API 令牌（API token）。当智能体尝试在没有 Cloudflare 凭证的情况下进行部署时，Wrangler 可以指示其使用 --temporary 重新运行，然后将 Worker 部署到临时预览账户中。

要在您的智能体中尝试此操作，请更新到 Wrangler 4.102.0 或更高版本，确保您已退出登录（wrangler logout），然后让您的智能体构建某些内容并将其部署到 Cloudflare。该智能体应当遵循 Wrangler 的输出并使用 --temporary 标志进行部署。

wrangler deploy --temporary

临时部署将保持在线 60 分钟。在此窗口期间，智能体可以验证 Worker、重新部署更改，并返回在线 Worker URL 和认领 URL。打开认领 URL 允许您登录或创建 Cloudflare 账户，并将临时账户转为永久账户。

临时预览账户目前支持有限的一组产品，包括 Workers、Workers Static Assets、Workers KV、D1、Durable Objects、Hyperdrive、Queues 和 SSL/TLS 证书。有关支持的产品、限制和认领行为，请参阅认领部署（临时账户）。

有关更多背景信息，请参阅 Temporary Cloudflare Accounts for Agents ↗。

Cloudflare One, Access - Cloudflare 身份提供商现在是新账户的默认选择

Thu, 18 Jun 2026 00:00:00 GMT

当您创建新的 Zero Trust 组织时，Cloudflare 现在会将 Cloudflare 身份提供商添加为您的默认登录方式。先前，新的组织会以一次性 PIN 码 (OTP) 开始。

使用 Cloudflare 身份提供商，您的用户将使用其现有的 Cloudflare 账户凭证进行身份验证，并且身份验证仅限于您账户的成员。您仍然可以在需要时随时添加 OTP 或连接任何第三方身份提供商。

此更改仅适用于新创建的账户。现有组织将保留其已配置的登录方式。如果您想在现有账户中使用 Cloudflare 身份提供商，则必须将其启用。

Containers - Containers 现已支持 exec()

Thu, 18 Jun 2026 00:00:00 GMT

exec() 现已用于 Containers。使用 this.ctx.container.exec() 在正在运行的 Container 中启动进程、流式传输标准输入和输出、检查退出状态码以及向每个进程发送信号。

在继承 Container 的类中，或在另一个 Durable Object 中通过 this.ctx.container 调用 exec()。关联的 Container 必须已在运行。

此示例在需要时启动 Container，然后读取其 Node.js 版本：

src/index.jsjs

import { Container } from "@cloudflare/containers";

export class MyContainer extends Container {
	async readVersion() {
		if (!this.ctx.container.running) {
			await this.start();
		}

		const process = await this.ctx.container.exec(["node", "--version"]);
		const output = await process.output();
		const decoder = new TextDecoder();

		return {
			exitCode: output.exitCode,
			stdout: decoder.decode(output.stdout),
			stderr: decoder.decode(output.stderr),
		};
	}
}

src/index.tsts

import { Container } from "@cloudflare/containers";

export class MyContainer extends Container {
	async readVersion() {
		if (!this.ctx.container.running) {
			await this.start();
		}

		const process = await this.ctx.container.exec(["node", "--version"]);
		const output = await process.output();
		const decoder = new TextDecoder();

		return {
			exitCode: output.exitCode,
			stdout: decoder.decode(output.stdout),
			stderr: decoder.decode(output.stderr),
		};
	}
}

命令数组直接启动可执行文件，没有隐式的 shell。如果需要管道、重定向或变量展开，请显式调用 shell。

一个 RPC 方法可以在一次调用者到 Durable Object 的往返中协调多个 exec() 调用。它还可以传递面向字节的 ReadableStream 输入或返回具有流量控制的流式输出。

有关选项和流式传输示例，请参阅执行命令。

Hyperdrive, Workers - 创建 PlanetScale Postgres 和 MySQL 数据库，统一记入您的 Cloudflare 账户账单

Thu, 18 Jun 2026 00:00:00 GMT

作为一个按需付费（pay-as-you-go）客户，您可以从 Cloudflare 创建 PlanetScale Postgres 和 MySQL 数据库，并通过您的 Cloudflare 账户结算 PlanetScale 数据库的使用费用。Cloudflare 合约客户将能够在 7 月份将 PlanetScale 的使用额度添加到其合约中，因此如果有兴趣，请联系您的 Cloudflare 账户团队。

从 Cloudflare 仪表板创建 PlanetScale 数据库，以体验针对区域数据访问进行了优化的全球分布式 Workers。

Go to Create a PlanetScale database ↗

从 Cloudflare 创建的 PlanetScale 数据库通过 Hyperdrive 与 Workers 协同工作。Hyperdrive 管理数据库连接池和查询缓存，因此您可以将 PlanetScale 用作 Workers 应用程序的集中式关系数据库，而无需更改数据库驱动程序、对象关系映射 (ORM) 库或 SQL 工具。

PlanetScale 的使用情况将在每个计费周期以美元总额的形式显示在您的 Cloudflare 发票上，价格遵循 PlanetScale 的标准定价 ↗。您可以通过 PlanetScale 的仪表板 ↗自检每个数据库的计费使用情况。

当您从 Cloudflare 仪表板创建 PlanetScale 数据库时，您将获得相同的 PlanetScale 开发人员体验，包括开发分支、查询洞察以及针对 Agent 的 Model Context Protocol (MCP) 服务端支持。

要开始使用，请参阅 PlanetScale Postgres and MySQL with Hyperdrive。

Radar - Cloudflare Radar 更新 Workers AI 热度指标

Thu, 18 Jun 2026 00:00:00 GMT

Radar 已更改衡量 Workers AI 模型和任务热度的方式。

此前，热度以针对每个模型或任务执行推理的唯一账户数量为依据。现在改为以推理次数为依据，能更准确地反映实际使用量。此变更将影响所有新测量数据以及历史数据。因此，Radar 上显示的模型和任务分布可能与之前有所不同，历史趋势也可能随之改变。

Workers AI 模型热度 ↗图表显示各模型的推理次数分布。

Workers AI 任务热度 ↗图表显示各任务的推理次数分布。

相同数据可通过以下 API 端点获取：

在 AI Insights 页面 ↗探索相关数据。

Speed - Cloudflare Fonts 错误处理和安全性改进

Thu, 18 Jun 2026 00:00:00 GMT

当遇到无效路径或意外运行时错误时，Cloudflare Fonts 现在会将 /cf-fonts 请求转发到您的源站服务器，而不是直接返回 4xx 或 5xx 响应。此更新还添加了附加的输入验证以增强安全性。

Artifacts - 从 Cloudflare 仪表板管理 Artifacts

Wed, 17 Jun 2026 12:00:00 GMT

您现在可以直接从 Cloudflare 仪表板配置 Artifacts 命名空间、仓库和令牌。

Artifacts 是兼容 Git 的存储，允许您将仓库存储在 Cloudflare 上，并使用标准 Git 工作流与它们进行交互。

您可以查看和创建命名空间，它们是仓库的顶级容器：

您可以查看、创建、派生和搜索命名空间内的仓库：

您可以打开仓库以查看其文件并复制其 Git 远程 URL。

您还可以直接从仪表板配置令牌，以将 Git 访问权限范围限定为单个仓库，包括用于 clone、fetch 和 pull 工作流的只读令牌，或者当客户端需要推送更改时所需的写入令牌。

要开始使用，请转到 Cloudflare 仪表板 ↗，然后选择 Storage & databases（存储和数据库） > Artifacts。

如果您已加入 Artifacts Beta 测试，您可以使用该仪表板来设置 Artifacts。如果您想加入 Beta 测试，请填写申请表 ↗。

SSL/TLS - 针对经身份验证的源站拉取和自定义源站信任存储的后量子 ML-DSA 证书

Wed, 17 Jun 2026 00:00:00 GMT

Cloudflare 现在在 Cloudflare 边缘与您的源站服务器之间的连接上接受 ML-DSA ↗ (FIPS 204) 后量子证书。结合我们现有的 X25519MLKEM768 密钥协商，这使您能够在 Cloudflare 到源站的连接上建立端到端后量子身份验证。

ML-DSA 在两个面向源站的功能中得到支持：

经身份验证的源站拉取 (AOP) — 上传一个 ML-DSA 客户端证书，Cloudflare 将在向您的源站进行 mTLS 握手期间出示该证书。可在区域（zone）级别和每个主机名范围内使用。
自定义源站信任存储 (COTS) — 上传一个 ML-DSA 证书颁发机构，Cloudflare 在完全（严格）加密模式下验证您的源站服务器证书时将信任该机构。

有关证书生成和设置指导，请参阅后量子签名；有关 Cloudflare 当前后量子部署状态，请参阅 Cloudflare 产品中的 PQC。

Agents, Workers - Agents SDK 改进了浏览器自动化、代码执行和恢复功能

Tue, 16 Jun 2026 00:00:00 GMT

Agents SDK ↗ 的最新版本使得构建能够安全地与真实系统交互且在中断时能够继续工作的 agent 变得更加容易。

Agent 现在可以通过 Browser Run 浏览网站、通过 Code Mode 针对外部工具编写代码、在委托给 Think 子 agent 时使用客户端提供的工具，并在从部署、Durable Object 驱逐以及连接流失中恢复时更加可靠。

更安全的浏览器自动化

Agent 现在可以通过单个持久化的 browser_execute 工具来使用 Browser Run。模型无需从固定的操作列表中进行选择，而是可以针对 Chrome DevTools Protocol (CDP) 编写代码，并可以检查页面、捕获屏幕截图、读取渲染的内容、调试前端行为以及与实时浏览器会话进行交互。

const browserTools = createBrowserTools({
	ctx: this.ctx,
	browser: this.env.BROWSER,
	loader: this.env.LOADER,
	session: { mode: "dynamic" },
});

const browserTools = createBrowserTools({
	ctx: this.ctx,
	browser: this.env.BROWSER,
	loader: this.env.LOADER,
	session: { mode: "dynamic" },
});

浏览器会话可以是一次性的、重用的，或者在运行期间从一次性提升为持久化的。当 agent 需要人工登录、完成多因素身份验证（MFA）或批准敏感操作时，这非常有用。运行可以暂停，保持相同的标签页和 Cookie，并在批准后恢复。

浏览器工具还为单次浏览任务添加了 Live View URL、可选的会话记录以及 browser_markdown、browser_extract、browser_links 和 browser_scrape 等快速操作。

具有批准的可恢复代码执行

Code Mode 现在使用 createCodemodeRuntime、连接器和持久化的执行日志。这让您只需为模型提供一个 codemode 工具，而不是满是工具定义的庞大 Prompt。模型可以发现它需要的功能、针对类型化的全局变量编写代码并重用保存的代码片段。

const runtime = createCodemodeRuntime({
	ctx: this.ctx,
	executor: new DynamicWorkerExecutor({ loader: this.env.LOADER }),
	connectors: [new GithubConnector(this.ctx, this.env, connection)],
});

const result = streamText({
	model,
	messages,
	tools: { codemode: runtime.tool() },
});

const runtime = createCodemodeRuntime({
	ctx: this.ctx,
	executor: new DynamicWorkerExecutor({ loader: this.env.LOADER }),
	connectors: [new GithubConnector(this.ctx, this.env, connection)],
});

const result = streamText({
	model,
	messages,
	tools: { codemode: runtime.tool() },
});

当代码执行到受批准限制的操作时，运行时会暂停执行并返回一个待处理的批准。批准后，已完成的调用将从持久化日志中回放，运行获得批准的操作，然后继续执行相同的代码。这使得构建创建议题（issues）、更新外部系统或执行其他副作用的 agent 变得非常实用，而无需为每个工具都编写自定义的暂停和恢复逻辑。

更好的 Think 委托

Think 子 agent 现在可以通过 RPC chat() 路径使用客户端定义的工具。父 agent 可以通过 clientTools 传递工具 schema，并通过 onClientToolCall 解析工具调用。这使得被委托的 agent 能够使用调用者提供的功能，而无需浏览器 WebSocket。

await child.chat(message, callback, {
	signal,
	clientTools: [
		{
			name: "get_user_timezone",
			description: "Get the caller's timezone",
			parameters: { type: "object" },
		},
	],
	onClientToolCall: async ({ toolName, input }) => {
		return runClientTool(toolName, input);
	},
});

await child.chat(message, callback, {
	signal,
	clientTools: [
		{
			name: "get_user_timezone",
			description: "Get the caller's timezone",
			parameters: { type: "object" },
		},
	],
	onClientToolCall: async ({ toolName, input }) => {
		return runClientTool(toolName, input);
	},
});

Think Workflows 还改进了 step.prompt()。Prompt 步骤现在会在返回结构化输出之前运行一个完整的 agent 轮次，因此 agent 可以在产生类型化结果之前调用工具。这使得 Workflow 步骤在持久的分流、研究和审批流中更加有用。

在绑定 Browser Run 时，统一的 Think 执行工具还可以包含 cdp.* 浏览器功能，以及 state.* 和 tools.*。

Voice 输出设备选择

Voice 客户端可以将助手音频路由到特定的输出设备。在 useVoiceAgent 中使用 outputDeviceId，或者从与框架无关的客户端调用 client.setOutputDevice()。

const voice = useVoiceAgent({
	agent: "MyVoiceAgent",
	outputDeviceId: selectedSpeakerId,
});

const voice = useVoiceAgent({
	agent: "MyVoiceAgent",
	outputDeviceId: selectedSpeakerId,
});

不支持扬声器选择的浏览器将继续通过默认的输出设备播放，并报告非致命的 outputDeviceError。

可靠性修复

此版本包括针对生产环境 agent 的多项修复：

useAgent 和 AgentClient 在重连和配置更改期间更可靠地处理 WebSocket 替换。
聊天流回放在重连、部署和提供商错误后更加可靠。
纤程（Fiber）恢复可以跨多通道扫描继续，并在恢复 Hook 持续失败时进行退避。
即使启动拆卸的请求被取消，Agent 拆卸仍会继续。
大型会话历史记录使用按字节预算的读取，以减少启动期间的内存压力。

升级

要更新到最新版本：

npm i agents@latest @cloudflare/think@latest @cloudflare/codemode@latest @cloudflare/ai-chat@latest @cloudflare/voice@latest

yarn add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest @cloudflare/ai-chat@latest @cloudflare/voice@latest

pnpm add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest @cloudflare/ai-chat@latest @cloudflare/voice@latest

bun add agents@latest @cloudflare/think@latest @cloudflare/codemode@latest @cloudflare/ai-chat@latest @cloudflare/voice@latest

有关更多信息，请参阅 Code Mode 文档、浏览器工具文档、Think 工具文档以及 Voice 文档。

Cloudflare Images - Images 中的新优化功能

Tue, 16 Jun 2026 00:00:00 GMT

这些更新为使用 Images 进行优化和操作引入了新功能：

全新 composite 选项：控制叠加层如何与底图混合。
百分比宽度：将叠加层的尺寸设置为底图尺寸的分数比例。
全新 fit 模式：使用 aspect-crop 始终保留目标宽高比，或使用 scale-up 始终放大图像。
全新 upscale 参数：应用 AI 放大（upscaling），在放大图像时产生更清晰、更细致的结果。

Workers, Agents, Workers AI - 在 Workers AI 上推出 GLM-5.2

Tue, 16 Jun 2026 00:00:00 GMT

我们很高兴宣布在 Workers AI 上推出 GLM-5.2，这是 Z.ai 的旗舰代理（agentic）编码模型。

@cf/zai-org/glm-5.2 是一款专为代理型编码工作流构建的文本生成模型。凭借函数调用和推理支持，它可以处理长代码库、多步规划和工具增强型智能体。

关键特性和使用场景：

代理编码：专为自主编码任务、长周期规划和复杂的软件工程工作流而设计
大型上下文窗口：GLM-5.2 最多支持 1,048,576 个 token 的上下文窗口。Workers AI 推出该模型时提供 262,144 个 token 的上下文窗口，并计划在未来增加此限制
函数调用：构建可在多个对话轮次中调用工具和 API 的智能体
推理：解决复杂的问题求解和分步推理任务

通过 Workers AI 绑定（binding） (env.AI.run())、REST API /run 或 /v1/chat/completions，或 AI Gateway 来使用 GLM-5.2。

定价可在模型页面或定价页面上找到。

Workers VPC - 通过 VPC 网络上的 connect() 进行 TCP 连接

Tue, 16 Jun 2026 00:00:00 GMT

VPC 网络（VPC Network）绑定（binding）现在除了支持通过 fetch() 进行 HTTP 流量传输外，还支持用于指向私有目标的原始 TCP 连接的 connect() Socket API。

这意味着 Workers 现在可以向通过绑定的 Cloudflare Tunnel、Cloudflare Mesh 或 Cloudflare WAN 接入端（on-ramp）可达的任何私有服务打开 TCP 套接字 —— 包括 Redis、Memcached、MQTT、自定义二进制协议或任何其他基于 TCP 的服务。

{
  "$schema": "./node_modules/wrangler/config-schema.json",
  "vpc_networks": [
    {
      "binding": "PRIVATE_NETWORK",
      "network_id": "cf1:network",
      "remote": true
    }
  ]
}

[[vpc_networks]]
binding = "PRIVATE_NETWORK"
network_id = "cf1:network"
remote = true

在运行时，在绑定上使用 connect() 以向私有目标打开 TCP 套接字：

export default {
	async fetch(request: Request, env: Env) {
		// Open a TCP connection to a private Redis instance
		const socket = await env.PRIVATE_NETWORK.connect("10.0.1.50:6379");

		// Write a Redis PING command
		const writer = socket.writable.getWriter();
		await writer.write(new TextEncoder().encode("PING\r\n"));
		await writer.close();

		return new Response(socket.readable);
	},
};

有关更多详细信息，请参阅 VPC 网络（VPC Networks）和 Workers 绑定（Binding）API。

Workers - Workers 追踪现在支持自定义 span

Tue, 16 Jun 2026 00:00:00 GMT

您现在可以使用 tracing.enterSpan() 在您的 Workers 代码中创建自定义追踪 span。自定义 span 与自动平台检测（fetch 调用、KV 读取、D1 查询以及其他平台操作）一起显示在您的追踪和 OpenTelemetry 导出中，并具有正确的父子嵌套关系。

该 API 可以通过 import { tracing } from "cloudflare:workers" 或通过处理程序上下文 ctx.tracing 访问：

import { tracing } from "cloudflare:workers";

export default {
  async fetch(request, env, ctx) {
    return tracing.enterSpan("handleRequest", async (span) => {
      span.setAttribute("url.path", new URL(request.url).pathname);
      const data = await env.MY_KV.get("key");
      return new Response(data);
    });
  },
};

Span 根据 JavaScript 异步上下文自动嵌套，并在回调返回或其返回的 Promise 解决时自动结束。Span 对象提供了 setAttribute(key, value) 用于附加元数据，以及 isTraced 属性用于检查当前请求是否正在被采样。

必须在您的 Wrangler 配置中启用追踪才能记录 span。

有关完整的 API 详细信息和示例，请参阅自定义 span。

WAF - 在 WAF 规则中使用 Cloudforce One 威胁情报

Mon, 15 Jun 2026 00:00:00 GMT

您现在可以在 WAF 规则中针对 Cloudforce One 威胁情报匹配传入的请求。新的检测会在威胁情报数据库中查找每个请求的客户端 IP 地址。如果该 IP 在过去七天内参与了威胁活动，Cloudflare 将填充 cf.intel.ip.* 字段，您可以在自定义规则和速率限制规则中使用这些字段。

该检测会填充以下字段。使用带有 [*] 通配符的 any() 函数来匹配数组值：

cf.intel.ip.datasets — 标记该 IP 地址的数据集（ddos 或 waf）。
cf.intel.ip.target_industries — 该 IP 地址针对的行业。
cf.intel.ip.attacker_names — 与该 IP 地址关联的已知威胁活动者。
cf.intel.ip.attacker_countries — 威胁活动的来源国家/地区。
cf.intel.ip.target_countries — 该 IP 地址针对的国家/地区。

例如，以下自定义规则表达式会阻断来自与针对法国的 DDoS 活动相关联的 IP 地址的请求：

any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")

这些字段适用于 Cloudflare API 和 Terraform。匹配项将记录在安全分析中。

拥有活动 Cloudforce One 订阅的客户可以使用威胁情报检测。欲了解更多信息，请参阅威胁情报。

WAF - WAF 发布 - 2026-06-15

Mon, 15 Jun 2026 00:00:00 GMT

本周的发布引入了新的托管防护，以解决 Ghost CMS 中的关键 SQL 注入漏洞（CVE-2026-26980），以及一条旨在识别和阻断利用混淆布尔逻辑的复杂 SQL 注入 (SQLi) 绕过尝试的新通用规则。这些规则在网络边缘保护受影响的安装免受未经授权的数据外泄。

主要发现

CVE-2026-26980: Ghost CMS Content API（版本 3.24.0 至 6.19.0）中存在盲 SQL 注入漏洞，由于输入验证不当，允许未经身份验证的远程攻击者通过查询参数注入恶意 SQL 命令。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Ghost CMS - SQLi - CVE:CVE-2026-26980	记录	阻断	这是新的检测。
Cloudflare 托管规则集		无	SQLi - Obfuscated Boolean - URI	记录	已禁用	这是新的检测。

AI Gateway - 在 AI Gateway 日志中查看请求的用户代理（User Agent）

Fri, 12 Jun 2026 00:00:00 GMT

AI Gateway 日志现在能够捕获发起每个请求的客户端的用户代理（User Agent），从而更容易识别是哪个 SDK、库或应用程序发送了流经您网关的流量。例如，您可以区分来自 openai-python 的请求与来自自定义应用程序或 Cloudflare Worker 的请求。

用户代理会与每个日志条目中的其他详细信息一起显示，并且您可以在仪表板中按用户代理（等于、不等于或包含）对日志进行筛选。

欲了解更多信息，请参阅日志记录。

Durable Objects, Workers - 按对象 ID 或名称筛选 Durable Objects 指标

Fri, 12 Jun 2026 00:00:00 GMT

现在，您可以在 Cloudflare 仪表板中，按单个 Durable Object 的 ID 或名称筛选 Durable Objects 命名空间的指标选项卡。此前，指标图表仅显示聚合的命名空间级数据，因此很难隔离特定对象的行为。

Go to Durable Objects ↗

开始在筛选器中输入 ID 或名称，然后从自动完成下拉列表中选择匹配项。自动完成仅显示在选定时间范围内有调用的对象，因此未出现的对象在该时间窗内未被调用。这并不一定意味着该对象已被删除。页面上的每个图表都会更新，以仅反映所选的对象。这使得在调试高流量对象、错误激增或意外存储使用时，更容易识别和调查单个 Durable Object。清除筛选器可返回命名空间级指标。

指标由 GraphQL Analytics API 提供支持，因此适用标准的分析行为，例如摄取延迟和采样。

欲了解更多信息，请参阅指标和分析。

Terraform - Terraform v5.20.0 现已可用

Fri, 12 Jun 2026 00:00:00 GMT

Cloudflare 的 Terraform v5 Provider 让开发人员能够轻松地使用配置即代码（configuration as code）方法来管理其 Cloudflare 基础设施。它每 2-3 周 ↗发布一次，以确保您始终可以管理平台中的最新功能。本周，我们发布了 Terraform v5.20.0，其中添加了 24 个新资源，将底层的 Go SDK 升级到了 cloudflare-go v7，并根据社区反馈进行了一系列错误修复和状态升级。

新资源

cloudflare_ai_search_namespace: 管理 AI Search 命名空间
cloudflare_custom_csr: 管理自定义证书签名请求
cloudflare_dls_prefix_binding: 管理 DLS 区域服务前缀绑定（binding）
cloudflare_flagship_app: 管理 Flagship 功能标志应用
cloudflare_flagship_flag: 管理 Flagship 功能标志
cloudflare_google_tag_gateway: 管理 Google Tag Gateway
cloudflare_load_balancer_monitor_group: 管理负载均衡器监视器组
cloudflare_oauth_client: 管理 IAM OAuth 客户端
cloudflare_origin_cloud_region: 管理源站云区域（v2 终结点）
cloudflare_secrets_store: 管理 Secrets Store 实例
cloudflare_secrets_store_secret: 管理 Secrets Store 机密
cloudflare_share: 管理资源共享
cloudflare_share_recipient: 管理共享接收者
cloudflare_share_resource: 管理共享资源
cloudflare_zero_trust_device_deployment_groups: 管理 Zero Trust 设备部署组
cloudflare_zero_trust_dlp_data_class: 管理 DLP 数据类
cloudflare_zero_trust_dlp_data_tag: 管理 DLP 数据标签
cloudflare_zero_trust_dlp_data_tag_category: 管理 DLP 数据标签类别
cloudflare_zero_trust_dlp_sensitivity_group: 管理 DLP 敏感性组
cloudflare_zero_trust_dlp_sensitivity_level: 管理 DLP 敏感性级别
cloudflare_zero_trust_dlp_sensitivity_level_order: 管理 DLP 敏感性级别排序
cloudflare_zero_trust_resource_library_application: 管理 Zero Trust 资源库应用
cloudflare_zero_trust_resource_library_category: 管理 Zero Trust 资源库类别
cloudflare_zero_trust_tunnel_warp_connector_config: 管理 WARP 连接器隧道配置

功能

cache: 为 smart_tiered_cache 添加创建 (POST) 方法
cache: 更新 OPCR 配置为 v2 终结点
dlp: 将 classification Stainless 配置提升至主分支
dlp: 添加自定义提示词主题终结点
email_security_block_sender: 用于 v4 到 v5 迁移的状态升级器
email_security_impersonation_registry: 用于 v4 到 v5 迁移的状态升级器
email_security_trusted_domains: 用于 v4 到 v5 迁移的状态升级器
snippets: 为 snippet 和 snippet_rules 添加 Terraform id_property 注释
将 Go SDK 升级到 cloudflare-go v7

错误修复

account_member: 缺少从 v5.0–v5.15 的升级路径
authenticated_origin_pulls_settings: 空指针异常 (nil pointer panic)
bot_management: 恢复 model.go 中对 content_bots_protection 的处理
dns_record: 防止 FQDN 规范化吞掉名称缩短的更改
list: 将空的嵌套对象设为 null，以防止 apply 后出现不一致的结果
load_balancer_pool: 接受 schema_version=0 时早期 v5 对象形状的状态
load_balancer_pool: 为 load_shedding 属性添加 UseStateForUnknown 以防止漂移
r2_custom_domain: 恢复 resource.go 中的降级响应处理
regional_hostname: 将 cloudflare-go 导入从 v6 更新为 v7
secrets_store: 修复模型/架构一致性并保护验收测试
spectrum_application: 接受 schema_version=0 时早期 v5 对象形状的状态
worker: 在多次读取之间保留 observability.traces.propagation_policy
worker: 在可观测性默认值中添加 propagation_policy
worker_version: 恢复手写的 D1 database_id 处理
workers_custom_domain: 状态迁移中缺少 CertId field
workers_script: 恢复被代码生成（codegen）剥离的注释 Read 规避方案
zero_trust_access_identity_provider: 将 read_only 从计算（computed）更改为可选（optional）
zero_trust_access_identity_provider: 将 UseStateForUnknown 添加到仅限 SAML 的配置字段
zero_trust_access_identity_provider: 在 scim_config 字段上使用 UseNonNullStateForUnknown
zero_trust_access_policy: 在迁移区域范围的 v4 状态时填充 account_id
zero_trust_access_policy: 迁移中缺少 common_names 转换
在迁移期间当配置具有 attributes_flat 时，优雅地处理空指针解引用
为所有新资源设置初始架构版本为 500

重构

将 MoveState 空值保护（nil guard）提取到共享助手程序中

了解更多信息

Workers AI - Moonshot AI Kimi K2.7 Code 现已在 Workers AI 上可用

Fri, 12 Jun 2026 00:00:00 GMT

@cf/moonshotai/kimi-k2.7-code 现已在 Workers AI 上可用。Kimi K2.7 Code 是 Kimi K2 系列中针对代码进行了优化的变体，基于混合专家（Mixture-of-Experts）架构构建，总参数量为 1T，每个 token 的活跃参数量为 32B。

改进的编码和智能体性能

K2.7 Code 在编码和智能体基准测试中相比 K2.6 实现了显著提升：

+21.8%，在 Kimi Code Bench v2 上
+11.0%，在 Program Bench 上
+31.5%，在 MLS Bench Lite 上

推理效率

K2.7 Code 与 K2.6 相比，使用的推理 token 减少了 30%，从而减少了“过度思考”并降低了重推理工作负载的推理成本。

关键能力

262.1k token 上下文窗口，用于在长期运行的智能体任务中保留完整的对话历史记录、工具定义和代码库
长周期编码，具有改进的指令遵循和更高的端到端编码任务成功率
视觉输入，用于随文本一起处理图像
可通过 chat_template_kwargs.thinking 配置推理深度的思维模式
多轮工具调用，用于构建在多个对话轮次中调用工具的智能体
支持 JSON schema 的结构化输出

与 Kimi K2.6 的区别

如果您正在从 Kimi K2.6 迁移，请注意以下几点：

K2.7 Code 针对编码任务进行了优化，具备改进的基准测试性能和推理效率
缓存的输入 token 定价为每百万（M）token 0.19 美元（而 K2.6 为 0.16 美元）
API 使用方式完全相同 —— 无需更改参数

快速入门

通过 Workers AI 绑定（binding） (env.AI.run())、/ai/run 处的 REST API，或者 /v1/chat/completions 处的兼容 OpenAI 的端点来使用 Kimi K2.7 Code。您还可以在这些端点中搭配使用 AI Gateway。

欲了解更多信息，请参阅 Kimi K2.7 Code 模型页面和定价。

Browser Run - Browser Run /snapshot 端点新增 formats 参数

Thu, 11 Jun 2026 00:00:00 GMT

Browser Run 的 /snapshot 端点现在支持 formats 参数，允许您在单次 API 调用中返回多种页面格式。此前，/snapshot 仅返回 HTML 内容和截图。您现在还可以在同一响应中包含 Markdown 和无障碍树。

这些格式对 AI Agent 工作流特别有用：

Markdown 提供了页面内容的高效 token 表示形式，LLM 可直接处理，无需解析 HTML 标记。
无障碍树提供了页面元素的结构化表示，包括角色、标签和层级关系，帮助 LLM 理解页面结构并导航其内容。

以下示例在一次调用中返回截图、Markdown 和无障碍树：

curl -X POST 'https://api.cloudflare.com/client/v4/accounts/<accountId>/browser-rendering/snapshot' \
  -H 'Authorization: Bearer <apiToken>' \
  -H 'Content-Type: application/json' \
  -d '{
    "url": "https://example.com/",
    "formats": ["screenshot", "markdown", "accessibilityTree"]
  }'

import Cloudflare from "cloudflare";

const client = new Cloudflare({
	apiToken: process.env["CLOUDFLARE_API_TOKEN"],
});

const snapshot = await client.browserRendering.snapshot.create({
	account_id: process.env["CLOUDFLARE_ACCOUNT_ID"],
	url: "https://example.com/",
	formats: ["screenshot", "markdown", "accessibilityTree"],
});

console.log(snapshot.markdown);
console.log(snapshot.accessibilityTree);

interface Env {
	BROWSER: BrowserRun;
}

export default {
	async fetch(request, env): Promise<Response> {
		return await env.BROWSER.quickAction("snapshot", {
			url: "https://example.com/",
			formats: ["screenshot", "markdown", "accessibilityTree"],
		});
	},
} satisfies ExportedHandler<Env>;

您必须至少请求两种格式。如果只需要一种格式，请使用相应的单格式端点，例如 /screenshot 或 /markdown。

请参阅 /snapshot 文档以获取完整的支持值列表。

Data Loss Prevention - 为 AI 提示词保护定义自定义主题

Thu, 11 Jun 2026 00:00:00 GMT

您现在可以为 AI 提示词保护定义自定义主题。预定义的 AI 提示词主题涵盖了常见的生命周期和意图类别，例如 PII、源代码和越狱（jailbreak）尝试。自定义主题允许您检测未包含在预定义类别中的独特或专有概念。

您用自然语言描述一个自定义主题，Cloudflare DLP 会根据上下文（而非特定关键字）检测提示词是否与该主题匹配。例如，描述机密合并讨论的主题会与对该交易进行释义的提示词相匹配，即使该提示词从未包含“合并”一词或涉及的公司名称。要检测诸如内部代号或产品标识符之类的字面值，请改用自定义单词列表或模式条目。

自定义主题与预定义的 AI 提示词主题运行相同的应用程序精细控制路径。自定义主题适用于 ChatGPT、Google Gemini、Perplexity 和 Claude。

创建自定义 AI 提示词主题

在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Data loss prevention（数据防泄露） > Detection entries（检测条目）。
选择 AI prompt topics（AI 提示词主题），然后选择 Custom Prompt Topic（自定义提示词主题）。
用自然语言描述主题。具体说明您想要检测的概念。例如，描述未发布的产品路线图细节或机密的客户合同条款。
将此检测条目添加到现有的 DLP 配置文件中，或创建一个新的 DLP 配置文件。
在 Gateway HTTP 策略中使用该配置文件，以记录或阻断与该主题相匹配的提示词。

有关更多详细信息，请参阅 AI prompt topics。

Workers - 从仪表板和 GraphQL API 跟踪 Dynamic Workers 的使用情况

Thu, 11 Jun 2026 00:00:00 GMT

客户现在可以从 Cloudflare 仪表板的 Workers 概览页面查看在其计费周期内调用的 Dynamic Workers 数量。

此计数反映了 Cloudflare 在所选计费周期内将计费的 Dynamic Workers 数量。Dynamic Workers 的使用数据仅追溯到 2026 年 6 月 1 日。

您还可以通过 GraphQL Analytics API 查询此计数，方法是使用 workersInvocationsByOwnerAndScriptGroups 并选择 distinctDynamicWorkerCount：

query getDynamicWorkersCount(
	$accountTag: string!
	$filter: AccountWorkersInvocationsByOwnerAndScriptGroupsFilter_InputObject
) {
	viewer {
		accounts(filter: { accountTag: $accountTag }) {
			workersInvocationsByOwnerAndScriptGroups(limit: 10000, filter: $filter) {
				uniq {
					distinctDynamicWorkerCount
				}
			}
		}
	}
}

使用变量来设置账户和计费周期日期范围：

{
	"accountTag": "<ACCOUNT_ID>",
	"filter": {
		"date_geq": "2026-06-01",
		"date_leq": "2026-06-30"
	}
}

有关更多信息，请参阅 Dynamic Workers 定价。

AI Search - 使用 Wrangler CLI 管理 AI Search 命名空间

Wed, 10 Jun 2026 00:00:00 GMT

AI Search 现在支持命名空间级别的 Wrangler 命令，这使得从您的终端、脚本和代理工作流程中管理命名空间（namespaces）变得更加容易。

以下命令可用：

命令	描述
`wrangler ai-search namespace list`	列出 AI Search 命名空间
`wrangler ai-search namespace create`	创建新的 AI Search 命名空间
`wrangler ai-search namespace get`	获取命名空间的详细信息
`wrangler ai-search namespace update`	更新命名空间描述
`wrangler ai-search namespace delete`	删除 AI Search 命名空间

直接从 CLI 为新应用程序或租户创建命名空间：

wrangler ai-search namespace create docs-production --description "Production documentation search"

通过分页列出命名空间，或按名称或描述进行过滤：

wrangler ai-search namespace list --search docs --page 1 --per-page 10

将 --json 与 list、create、get 和 update 结合使用，以返回自动化和 AI 代理可以直接解析的结构化输出。

实例级别的命令现在也支持 --namespace 标志，因此您可以从 CLI 与特定命名空间内的实例进行交互：

wrangler ai-search list --namespace docs-production

有关完整的用法详情，请参阅 AI Search Wrangler 命令文档。

DNS - 账户级 DNS 记录配额

Wed, 10 Jun 2026 00:00:00 GMT

Cloudflare 现在针对企业级（Enterprise）账户在账户级别执行 DNS 记录配额。这些账户不再限制每个区域的配额，而是对其所有区域的记录总数设立配额，允许您根据需要随意在各个区域之间分配记录，而无需考虑每个区域的计划。公共区域和内部区域分别计算，每个区域的默认配额为 1,000,000 条记录。

没有账户级配额的账户不受影响：现有的每个区域配额与以前完全相同。

有关更多详细信息，请参阅 DNS records quota。

Flagship - Flagship API 参考现已上线

Wed, 10 Jun 2026 00:00:00 GMT

Flagship API 参考 现已上线。您可以使用 Cloudflare API 创建和更新应用，以及在不使用仪表板的情况下创建、更新、删除和列出功能标志。

例如，使用 API 创建一个新的布尔标志：

curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/flagship/apps/$APP_ID/flags \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  -d '{
    "key": "new-checkout",
    "enabled": true,
    "default_variation": "off",
    "variations": {
      "off": false,
      "on": true
    },
    "rules": []
  }'

要创建 API token，请前往 Cloudflare 仪表板中的账户 API Tokens ↗ 并搜索 Flagship。

API 参考包含 Flagship 应用、标志、更新日志条目和标志评估的端点。Agent 还可以使用 Cloudflare skill 中的 Flagship 参考 ↗ 创建和管理 Flagship 资源。

请参阅 Flagship 文档以了解有关从应用程序评估功能标志的更多信息。

Cloudflare Images - 使用 Images 绑定管理托管的图像

Wed, 10 Jun 2026 00:00:00 GMT

使用 Images 绑定（binding）可以直接从您的 Worker 上传、列出、检索、更新和删除存储在 Images 中的图像，而无需管理 API 令牌（tokens）或发送 HTTP 请求。

env.IMAGES.hosted 命名空间支持以下存储和管理操作：

.upload(image, options) — 向您的账户上传一个新图像。
.list(options) — 通过分页列出图像。
.image(imageId).details() — 获取图像元数据。
.image(imageId).bytes() — 流式传输原始图像字节。
.image(imageId).update(options) — 更新元数据或访问控制。
.image(imageId).delete() — 删除图像。

例如，您可以从请求主体中上传图像并返回其元数据：

const image = await env.IMAGES.hosted.upload(request.body, {
	filename: "upload.jpg",
	metadata: { source: "worker" },
});

return Response.json(image);

或者检索并提供托管图像的原始字节：

const bytes = await env.IMAGES.hosted.image("IMAGE_ID").bytes();
return new Response(bytes);

欲了解更多信息，请参阅 Images 绑定。

Security Center - 针对 Brand Protection 的自动 Cease and Desist（停止并终止）模板

Wed, 10 Jun 2026 00:00:00 GMT

摘要（TL;DR）： Brand Protection 现在具有 自动 Cease & Desist（C&D） 工作流。当您发现托管在 Cloudflare 之外的侵权域名时，您可以在数秒内立即生成、审查并下载带有自定义品牌标识且预先填写的法律通知。

为什么这很重要

此更新引入了从纯检测到可行性执法的重大转变，消除了您的 Trust & Safety 和法务团队的手动负担：

即时 WHOIS 和收件人查询：我们会在后台自动抓取注册商数据和 WHOIS 联系信息（例如注册人或注册商滥用投诉邮箱），精确指出您的通知需要发送到哪里
智能模板自动化：我们使用基本元数据预先填写您的自定义品牌模板，包括侵权域名、注册商名称和发现日期。
量身定制的执法语气：根据基础设施匹配的严重程度，从三种默认布局策略中进行选择：
- Exact Match（精确匹配）：针对完全相同的商标侵权行为提出正式要求
- Similar Match（相似匹配）：针对域名仿冒（单字符距离匹配）进行优化的标准通知
- Friendly Tone（友好语气）：针对潜在的无意或意外侵权行为的友好初步沟通
完全的编辑控制：在创建最终的 PDF 之前，实时审查屏幕允许您微调消息传递、修改占位符，并确保您的文本与内部法律标准完美契合

工作原理

在仪表板内审查恶意域名匹配时，您的执法路径会根据攻击者所在的位置而有所不同：

在 Cloudflare 网络上：如果该域名使用 Cloudflare 的网络或注册商，只需单击一下即可触发我们现有的集成滥用报告流程。
托管在其他地方：如果该域名托管在外部提供商上，单击 Generate C&D Letter 选项启动新的文档生成器，选择您的模板，验证自动填充的收件人数据，然后下载最终生成的 PDF。

您可以通过前往 Cloudflare 仪表板 > Application Security > Brand Protection 并选择您检测到的 Brand Protection 匹配项来管理模板并执行匹配。有关更多信息，请参阅 Brand Protection 文档。

注意：Cloudflare 并不代表您，也无法为您提供法律建议。只有您自己能决定您的权利是否受到侵犯、警告信是否合适以及该信件应包含的内容。

Sandbox SDK - 已弃用 Sandbox SDK 功能

Tue, 09 Jun 2026 00:00:00 GMT

今天我们宣布弃用 Sandbox SDK 的若干功能。自首次发布以来，SDK 已大幅成长和成熟。随着 Agent 工作流的发展，我们已发布了许多新功能和实验性内容，让开发者能够轻松地将安全的隔离代码执行集成到其工作流中。

我们希望 SDK 在快速迭代代码库的同时，继续为 Agent 工作流提供稳定的基础。这些已弃用的功能要么已被更新的功能所取代，要么采用率较低。它们将保留在代码库中直至 2026 年 7 月 9 日，之后将不再出现在未来的 Sandbox SDK 版本中。

HTTP 和 WebSocket 传输

2026 年 4 月，我们发布了新的 RPC 传输并弃用了 WebSocket 传输。此设置控制沙箱容器与 Workers 生态系统的通信方式。RPC 传输消除了 HTTP 和 WebSocket 传输的两种限制。自 2026 年 6 月 9 日起，它是推荐的默认选项。HTTP 和 WebSocket 传输将不再出现在 2026 年 7 月 9 日后发布的 Sandbox SDK 版本中。

如需在 2026 年 7 月 9 日之前迁移，请将 SANDBOX_TRANSPORT 变量更新为 rpc，或在调用 getSandbox() 时设置 transport 选项。更多信息，请参阅传输配置文档。

Desktop

Desktop 功能作为 Sandbox SDK 功能演示而推出——可在沙箱中控制完整的浏览器环境。随着 Cloudflare Browser Run 的推出，该功能使用率极低。我们已在 0.10.2 中将其移除。

公开端口

我们最近在 Sandbox SDK 中发布了对 Cloudflare Tunnel 的支持。它为将沙箱中运行的服务公开到公共互联网提供了强大的 API，解决了许多人在本地开发和部署到 workers.dev 域名时遇到的问题。如需从 exposePort() 迁移到隧道，请参阅隧道 API 文档和公开服务指南。

默认会话

默认情况下，Sandbox SDK 中的 exec() 方法在所有调用之间维护一个默认会话，因此某次调用中的 cd 会在下一次调用中生效。这种便利性对手动编写 exec 语句的开发者有帮助，但会让 Agent 感到困惑，并导致难以追踪的 Bug。自 0.10.3 起，我们在 getSandbox() 接口上引入了 enableDefaultSession 标志来关闭此功能。默认会话这一概念——以及该标志——将在后续版本中移除。

我们建议今天就将 enableDefaultSession: false 设置为当前值，并在需要之前行为时使用 sandbox.createSession() API。

其他变更

我们还在整合所有缓冲数据的 API，以默认支持流式传输。这包括 readFile、writeFile 和 exec。流式等效方法将被移除。

我们正在探索将非核心功能（如代码解释器、终端和 git API）移入辅助工具。这些功能将保留现有 API，因此迁移应该很简单。

后续步骤

如果您使用了上述任何功能，请参阅 2026 年弃用迁移指南。我们还提供了一个 Agent skill 来协助迁移。

如有任何问题，请在 Cloudflare 开发者 Discord ↗ 中提问。

WAF - WAF 发布 - 2026-06-09

Tue, 09 Jun 2026 00:00:00 GMT

此版本引入了针对使用 PostgreSQL 的 Drupal 安装中关键 SQL 注入漏洞（CVE-2026-9082）的新检测，以及针对 Mirasvit Cache Warmer 扩展中不安全反序列化缺陷（CVE-2026-45247）的针对性防护。此外，此版本还包含对 Axios 中原型污染向量（CVE-2026-40175）的覆盖，以及一条旨在识别和阻断利用混淆布尔逻辑的复杂 SQL 注入 (SQLi) 绕过尝试的新通用规则。

主要发现

CVE-2026-9082: 配置了 PostgreSQL 后端的 Drupal 网站受到数据库抽象漏洞的影响。远程、未经身份验证的攻击者可以通过精心设计的输入利用该漏洞注入恶意 SQL 命令并访问或操作后端数据。
CVE-2026-45247: Magento 和 Adobe Commerce 的 Mirasvit Cache Warmer 扩展中存在 PHP 对象注入漏洞。该漏洞源于对不受信任的用户进行的不安全反序列化输入，使未经身份验证的攻击者能够在托管服务器上执行任意代码。
CVE-2026-40175: Axios HTTP 客户端库中存在原型污染漏洞。攻击者可以利用此漏洞向全局 JavaScript 对象原型中注入恶意属性，从而可能导致应用程序崩溃（拒绝服务）或根据应用程序结构执行未经授权的代码。

影响

成功利用这些漏洞可能允许未经身份验证的攻击者执行任意代码、操作数据库内容或引发应用程序崩溃，从而导致严重的操作中断或服务器完全受损。这些新部署的签名在边缘拦截了这些先进的恶意负载，然后它们才能与脆弱的软件配置进行交互。

规则集	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集	无	Axios - Prototype Pollution - CVE:CVE-2026-40175	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	Drupal - PostgreSQL SQLi - CVE:CVE-2026-9082 - Body	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	Drupal - PostgreSQL SQLi - CVE:CVE-2026-9082 - URI	记录	阻断	这是新的检测。
Cloudflare 托管规则集	无	SQLi - Obfuscated Boolean - Body	无	已禁用	这是新的检测。
Cloudflare 托管规则集	无	SQLi - Obfuscated Boolean - Headers	无	已禁用	这是新的检测。
Cloudflare 托管规则集	无	Mirasvit Cache Warmer - PHP Object Injection - CVE:CVE-2026-45247	无	阻断	这是新的检测。

Email Service - 身份验证的 SMTP 提交功能现已在 beta 阶段可用

Mon, 08 Jun 2026 00:00:00 GMT

您现在可以使用 smtp.mx.cloudflare.net:465 上的身份验证 SMTP 提交，通过 Cloudflare Email Service 发送电子邮件。SMTP 与 REST API 和 Workers 绑定一起构成了发送交易性电子邮件的第三种方式——这对于已经采用 SMTP 协议的现有应用程序以及语言原生 SMTP 库（如 Nodemailer、smtplib、PHPMailer、JavaMail）非常有用。

设置	值
主机 (Host)	`smtp.mx.cloudflare.net`
端口 (Port)	`465` (隐式 TLS)
AUTH	`PLAIN` 或 `LOGIN`
用户名 (Username)	`api_token`
密码 (Password)	具有 Email Sending: Edit 权限的 Cloudflare API 令牌（账户所有或用户所有）

提交将进入与 REST API 和 Workers 绑定相同的递送管道：相同的限制、自动 DKIM 和 ARC 签名，以及共享的仪表板日志。

使用单条命令发送您的第一封电子邮件：

curl --ssl-reqd \
  --url "smtps://smtp.mx.cloudflare.com:465" \
  --user "api_token:<API_TOKEN>" \
  --mail-from "welcome@yourdomain.com" \
  --mail-rcpt "user@example.com" \
  --upload-file mail.txt

有关身份验证详细信息、响应代码和特定语言的示例，请参阅 SMTP 参考。

R2 SQL - R2 SQL 现在支持 UNION、INTERSECT、EXCEPT 和 SELECT DISTINCT

Mon, 08 Jun 2026 00:00:00 GMT

R2 SQL 现在支持集合操作（UNION、INTERSECT、EXCEPT）和 SELECT DISTINCT，从而扩展了您可直接对 R2 Data Catalog 中 Apache Iceberg ↗ 表运行的分析查询范围。

集合操作

组合多个 SELECT 语句的结果：

UNION — 返回两个查询的所有行，并移除重复项。
UNION ALL — 返回两个查询的所有行，保留重复项。
INTERSECT — 仅返回在两个查询中都出现的行。
EXCEPT — 返回存在于第一个查询中但不存在于第二个查询中的行。

-- Find zones that had either firewall blocks OR high-risk requests
SELECT zone_id FROM my_namespace.firewall_events WHERE action = 'block'
UNION
SELECT zone_id FROM my_namespace.http_requests WHERE risk_score > 0.8

-- Find zones with both firewall blocks AND high traffic
SELECT zone_id FROM my_namespace.firewall_events WHERE action = 'block'
INTERSECT
SELECT zone_id FROM my_namespace.http_requests
GROUP BY zone_id
HAVING COUNT(*) > 10000

-- Find enterprise zones that have not been compacted
SELECT zone_id FROM my_namespace.zones WHERE plan = 'enterprise'
EXCEPT
SELECT zone_id FROM my_namespace.compaction_history

SELECT DISTINCT

从查询结果中消除重复行：

SELECT DISTINCT region, department
FROM my_namespace.sales_data
WHERE total_amount > 1000
ORDER BY region, department
LIMIT 100

对于可以接受近似结果的大型数据集，approx_distinct() 仍是计算唯一值数量的更快替代方法。

有关完整语法参考，请参阅 SQL 参考。有关性能指南，请参阅限制与最佳实践。

Realtime - RealtimeKit 会后转录现已正式发布

Mon, 08 Jun 2026 00:00:00 GMT

RealtimeKit 让您可以在 Cloudflare 的全球 WebRTC 基础设施上构建人们通过实时音视频进行会议的产品，例如医疗健康科技、教育科技、监考以及其他实时平台。

会后转录现已正式发布，已完成的 RealtimeKit 会议可在结束后自动生成完整的转录文件。这些转录文件还可为AI 生成摘要提供支持，用于会议记录、审查工作流以及转录文件可用后的跟进任务。

会后转录是由 Workers AI 使用 Whisper Large v3 Turbo 驱动的托管服务。RealtimeKit 处理转录过程，并可通过 webhook 或 REST API 返回转录和摘要文件，因此您无需运行自己的转录基础设施。

生成转录和摘要

要在会议结束后生成转录，请在创建会议时设置 transcribe_on_end: true。要在转录可用后也自动生成 AI 摘要，请设置 summarize_on_end: true：

curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/realtime/kit/$APP_ID/meetings" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "title": "Weekly product review",
    "transcribe_on_end": true,
    "summarize_on_end": true,
    "ai_config": {
      "transcription": {
        "language": "en"
      },
      "summarization": {
        "word_limit": 500,
        "text_format": "markdown",
        "summary_type": "team_meeting"
      }
    }
  }'

获取结果

当 RealtimeKit 完成会议处理后，会为转录文件创建下载 URL，如果设置了 summarize_on_end，则还会为摘要创建下载 URL。您可以通过 webhook 自动接收这些 URL，或通过 REST API 稍后为特定会话获取。

要在结果准备好后立即接收，请配置 meeting.transcript 和 meeting.summary webhook 事件：

curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/realtime/kit/$APP_ID/webhooks" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "AI results webhook",
    "url": "https://example.com/webhook",
    "events": ["meeting.transcript", "meeting.summary"],
    "enabled": true
  }'

要稍后获取结果，请调用相应会话的转录或摘要端点：

curl -X GET "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/realtime/kit/$APP_ID/sessions/$SESSION_ID/transcript" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

curl -X GET "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/realtime/kit/$APP_ID/sessions/$SESSION_ID/summary" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

仅当未设置 summarize_on_end 且您希望在转录可用后手动生成摘要时，才使用为会话转录生成摘要 API：

curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/realtime/kit/$APP_ID/sessions/$SESSION_ID/summary" \
  -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

会后转录支持 CSV、JSON、SRT 和 VTT 转录输出格式、自动语言检测和 Whisper 语言代码。RealtimeKit 还支持使用 Deepgram Nova-3 进行实时转录，用于实时字幕、会议内无障碍功能和实时记录。

在 RealtimeKit 转录文档和摘要文档中了解更多信息。

Security Center - 直接从 Threat Events 保存的视图创建 WAF 规则

Mon, 08 Jun 2026 00:00:00 GMT

Cloudforce One 用户现在可以将 Threat Events 指标转化为主动防御。通过此更新，用户可以立即生成一个 WAF 规则，该规则与他们的任何 Saved Views（已保存视图） 返回的 IP 地址动态列表相匹配。

为什么这很重要

威胁情报在能立即转化为行动时最有效。以前，阻止威胁行为者需要从威胁事件中手动提取指标并将其复制到您的防火墙规则中。这一新的集成弥合了威胁发现与威胁缓解之间的差距：

当您识别出活动的威胁模式时 —— 例如针对特定行业的持续活动，或者使用已知的指标类型 —— 您只需单击一下即可从调查转向缓解。
这种功能允许您利用在 Threat Events 生态系统内已经定义并保存的特定过滤逻辑，而不是编写复杂的静态 IP 规则。
自动从您的威胁视图中生成 WAF 规则表达式可消除手动复制错误，确保立即阻止正确的恶意基础设施。

如何使用

您可以通过仪表板 UI 以及通过 API / Terraform 来实施这些规则。

前往 Cloudflare 仪表板 > Application Security（应用安全） > Threat Intelligence（威胁情报） > Manage Views（管理视图），选择您所需的视图，然后选择 Create WAF Rule（创建 WAF 规则）。

这将使用匹配的威胁事件 IP 指标自动预先填充 WAF 规则生成器。

您还可以通过结合使用 WAF Rule Builder API 以及您的 Threat Events saved views 终点来自动执行此工作流程。

Security Center - 在 Threat Events 中推出 Threat Actor Profiles（威胁行为者档案）

Mon, 08 Jun 2026 00:00:00 GMT

摘要（TL;DR）： 我们直接在 Threat Events 仪表板中推出了 Threat Actor Profiles（威胁行为者档案）。您现在可以立即从通用的警报或被阻止的事件，转向揭示威胁事件背后“是谁、为什么以及如何进行”的档案。

为什么这很重要

安全团队经常面临可见性差距。当一次攻击被阻止时，很难知道它是一个随机的自动化机器人，还是专门针对您行业的复杂高级持续性威胁（APT）活动。要查明原因，通常意味着需要离开您的安全仪表板，去搜寻外部的 OSINT 源或静态且过时的威胁报告。

Threat Actor Profiles 通过直接在您的工作流中共享 Cloudforce One 的深度对手研究来解决此问题：

Cloudflare 实时查看全球大约 20% 的网络流量。这意味着在活动恶意基础设施接触到我们全球边缘的瞬间，行为者档案就会显示该基础设施。
每个档案都提供清晰的战略和战术模块，包括备用别名、来源追踪、历史威胁事件卷以及详细说明对手技术方法的 MITRE ATT&CK 映射。
您可以搜索专属的威胁行为者目录，或在任何威胁事件内点击行为者的名称，以查看该特定威胁行为者的所有详细信息和相关事件。

如何使用

对手追踪现在可在 Cloudflare 仪表板中使用，并已准备好纳入您的日常调查工作流程中：

点击 Threat Events 表格中的 Threat Actor（威胁行为者） 名称以打开其完整的身份档案，并查看其别名和攻击统计数据。
导航至 Cloudflare 仪表板 > Application Security（应用安全） > Threat Intelligence（威胁情报） 以探索全新的 Threat Actors（威胁行为者） 标签页。在这里，您可以浏览由 Cloudforce One 追踪的所有既定实体的卡片式目录。

欲了解更多信息，请参阅 Cloudforce One 文档。

Workflows - Workflows 现已支持回滚

Fri, 05 Jun 2026 15:00:00 GMT

Workflows 现已支持 saga 风格的回滚，允许您向每个 step.do() 添加补偿逻辑，以应对下游故障。如果实例失败，回滚处理程序将按照 step-start 顺序的逆序执行。

这对于涉及外部系统的多步骤操作非常有用，例如库存预留、付款授权、工单创建或基础设施配置。与其将所有清理逻辑编写在顶级 catch 中，不如将每个补偿操作放在其所撤销的步骤旁边。

回滚处理程序支持自己的重试和超时配置，Workflows 现在在实例状态响应中公开回滚结果。Workflows 分析还会发送回滚生命周期事件，使在调试生产工作流时更容易区分正向执行失败和回滚失败。

await step.do(
	"provision resource",
	async () => {
		const resource = await provisionResource();
		return { resourceId: resource.id };
	},
	{
		rollback: async ({ output }) => {
			const { resourceId } = output;
			await deleteResource(resourceId);
		},
		rollbackConfig: {
			retries: { limit: 3, delay: "15 seconds", backoff: "linear" },
			timeout: "2 minutes",
		},
	},
);

await step.do(
	"provision resource",
	async () => {
		const resource = await provisionResource();
		return { resourceId: resource.id };
	},
	{
		rollback: async ({ output }) => {
			const { resourceId } = output as { resourceId: string };
			await deleteResource(resourceId);
		},
		rollbackConfig: {
			retries: { limit: 3, delay: "15 seconds", backoff: "linear" },
			timeout: "2 minutes",
		},
	},
);

请参阅回滚选项了解更多信息。

AI Gateway - 使用支出限制控制 AI 成本

Fri, 05 Jun 2026 00:00:00 GMT

AI Gateway 现在支持支出限制（spend limits）——基于成本的预算，可追踪累计美元支出，并在超出预算时拦截请求。与限制请求次数的速率限制不同，支出限制是基于 Token 使用量和模型定价来追踪实际成本。

您可以按模型、提供商或自定义元数据维度来限定限制范围。例如，为每个用户分配每日 200 美元的预算，将网关总支出限制在每日 10,000 美元以内，或者限制每个用户对特定模型的每日支出上限为 50 美元。每条规则都使用可配置的时间窗口，可采用固定或滑动执行策略。

支出限制适用于具有已知定价模型的统一计费（Unified Billing）和 BYOK（自带密钥）请求。

欲了解更多细节，请参阅支出限制文档。

Radar - Cloudflare Radar 针对较长时间范围提供更细粒度图表

Fri, 05 Jun 2026 00:00:00 GMT

Radar 现在为较长时间范围提供更细粒度的流量图表。此前，在 HTTP 和 NetFlows 图表上选择 1-3 个月视图时，默认采用每周聚合，粒度过粗，难以呈现有意义的趋势。超过 3 个月的视图默认采用每月聚合，6 个月范围内最少只返回 7 个数据点。

新的默认值为：

1-3 个月：每日粒度（数据点增加 7 倍）
超过 3 个月（HTTP 和 NetFlows）：每周粒度（数据点增加 4 倍）

例如，12 周流量视图之前显示每周数据：

现在同一视图显示每日数据：

同样，此前 1 年 HTTP 流量视图仅显示 12 个月度数据点，现在可提供 52 个每周数据点。

访问 Cloudflare Radar ↗ 探索新的细粒度视图。

Gateway, Cloudflare Mesh, Workers VPC - 使用 Gateway 策略过滤 Workers 的公共互联网流量

Fri, 05 Jun 2026 00:00:00 GMT

使用 VPC 网络（VPC Network）绑定（binding）与 network_id: "cf1:network" 的 Workers 现在可以通过 Cloudflare Gateway 出口到公共互联网目标。这意味着您现有的 Zero Trust 流量策略 —— DNS、HTTP、网络和出口（egress）—— 将延伸到源自您的 Workers 的流量，就像今天对 WARP 用户所做的那样。

Worker
Calls env.EGRESS.fetch()
VPC binding
Cloudflare Mesh
Bind via cf1:network
↓
Cloudflare Gateway
Policies applied:
DNS HTTP Network
↓
Public Internet
Any public hostname or IP

Gateway logsDNSHTTPNetwork

您默认获得的内容：

可见性。 Worker 出口流量与您的其他流量一起显示在 Gateway DNS、HTTP 和网络日志中，以便您可以审计您的 Workers 在何时调用了什么。
强制执行。 任何其选择器与 Worker 请求相匹配的现有 Gateway 策略都将适用 —— 包括允许/阻止列表、DNS 类别过滤和 HTTP 目标规则。如果您已经为您的员工屏蔽了某个类别，您的 Workers 将继承该屏蔽。

{
	"vpc_networks": [
		{
			"binding": "EGRESS",
			"network_id": "cf1:network",
			"remote": true,
		},
	],
}

[[vpc_networks]]
binding = "EGRESS"
network_id = "cf1:network"
remote = true

// Egress to a public destination — subject to your Gateway policies and logged
const response = await env.EGRESS.fetch("https://api.example.com/data");

// Egress to a public destination — subject to your Gateway policies and logged
const response = await env.EGRESS.fetch("https://api.example.com/data");

有关配置选项，请参阅 VPC 网络（VPC Networks）。有关策略编写，请参阅 Cloudflare Gateway 流量策略。

Access - 通过 IdP 联合跨账户共享身份提供商

Thu, 04 Jun 2026 00:00:00 GMT

Cloudflare Access 现在支持 IdP 联合，这允许组织在多个 Cloudflare 账户之间共享单个身份提供商。

无需在每个账户中分别配置相同的 IdP（例如 Okta 或 Entra ID），您只需在源账户中配置一次，然后与组织中的其他账户共享它。每个接收方账户都会获得一个只读的 IdP 连接，该连接通过一个桥接（bridge）—— 源账户中一个代理跨账户登录的隐藏应用程序 —— 将身份验证路由回源账户。最终用户使用其现有的 IdP 凭据登录，而每个账户的 Access 策略评估生成的身份就和任何其他 IdP 登录一样。

关键功能：

一个 IdP，多个账户 — 配置一次您的 IdP，并将其共享给您组织中的所有账户。
生命周期管理 — 随着账户加入或离开您的 Cloudflare 组织，它们的 IdP 连接会自动预配和删除 —— 无需手动清理。
不可变的接收方连接 — 接收方账户中的 IdP 连接不能被意外修改或删除。

要开始使用，请参阅 IdP 联合。

Cloudflare Fundamentals, Workers, D1, R2, KV, Queues, Vectorize, Durable Objects, Containers - 计费使用量和预算警报现已集成到产品侧边栏中

Thu, 04 Jun 2026 00:00:00 GMT

按需付费（Pay-as-you-go）客户现在可以直接从 Workers & Pages、D1、R2、Workers KV、Queues、Vectorize、Durable Objects 和 Containers 的产品概览页面查看计费使用量并创建预算警报。新的侧边栏小组件显示了当前时期的支出和账单周期日期范围，同时还提供了一个用于创建预算警报的按钮。

该小组件提取与计费使用量仪表板相同的数据，并与您的账单周期（或免费计划中的当前日期）保持一致，因此数据与您的发票相符。目前尚不支持 Enterprise 合约账户。

选择 **Create budget alert（创建预算警报）**会以内联方式打开预算警报流程，以便您在查看使用量的同一位置设置美元阈值。预算警报适用于您在所有产品上的账户级别总支出，而不仅仅是您创建该警报的产品页面。

有关更多信息，请参阅基于使用量的计费文档。

Pipelines, Workers - Pipeline 绑定（binding）配置字段重命名为 stream

Thu, 04 Jun 2026 00:00:00 GMT

您的 Wrangler 配置文件中 pipelines 绑定（binding）配置里的 pipeline 字段已重命名为 stream。旧字段已弃用但仍被接受。

请更新您的配置以使用 stream，从而避免弃用警告。

之前（已弃用）：

{
  "$schema": "./node_modules/wrangler/config-schema.json",
  "pipelines": [
    {
      "binding": "MY_PIPELINE",
      "pipeline": "<STREAM_ID>"
    }
  ]
}

[[pipelines]]
binding = "MY_PIPELINE"
pipeline = "<STREAM_ID>"

之后：

{
  "$schema": "./node_modules/wrangler/config-schema.json",
  "pipelines": [
    {
      "binding": "MY_PIPELINE",
      "stream": "<STREAM_ID>"
    }
  ]
}

[[pipelines]]
binding = "MY_PIPELINE"
stream = "<STREAM_ID>"

无需进行其他更改。绑定（binding）名称、TypeScript 类型和运行时 API (env.MY_PIPELINE.send(...)) 保持不变。

有关配置 pipeline 绑定（binding）的更多信息，请参阅写入流。

Access - 身份提供商的 SAML 断言加密

Wed, 03 Jun 2026 00:00:00 GMT

Cloudflare Access 现在支持身份提供商集成的 SAML 断言（assertion）加密。开启后，您的身份提供商会在通过用户浏览器发送 SAML 断言之前，使用 Cloudflare 管理的证书对其进行加密。只有 Access 可以解密这些断言，从而在 TLS 终止后也能保护敏感的身份数据。

如果没有加密，SAML 断言将以明文传输，并且可能会被浏览器扩展或客户端恶意软件看到。

SAML 加密包括内置的证书生命周期管理：

自动生成证书：当您为身份提供商开启 SAML 加密时，Access 会生成一个加密证书。
证书轮换：无停机轮换证书。之前的证书在过期前保持有效，为您留出时间来更新 IdP。
PEM 导出：复制 PEM 格式的证书以便手动上传到您的 IdP，或者将您的 IdP 指向 SAML 元数据端点以进行自动检索。

要开始使用，请参阅加密 SAML 断言。

Cloudflare Fundamentals - 推出自托管 OAuth 客户端

Wed, 03 Jun 2026 00:00:00 GMT

今天，我们推出了自托管 OAuth，使开发者能够构建通过 OAuth 与 Cloudflare 集成的第三方应用程序。这为 API 令牌提供了一种更安全、更易用且更易于管理的替代方案。

OAuth 允许第三方应用程序代表用户访问其 Cloudflare 账户。例如，在用户授予同意后，Wrangler 可以将 Workers 部署到该账户中。

新增功能

Cloudflare 开发者现在可以创建和管理他们自己的 OAuth 应用程序，以便与 Cloudflare 集成。

创建应用程序

要创建应用程序，请转到 Cloudflare 仪表板中您账户的 Manage Account（管理账户） > OAuth clients（OAuth 客户端）。

Go to OAuth clients ↗

选择受限范围

如果您曾使用 API 令牌调用 Cloudflare API，您会对 OAuth 客户端范围感到熟悉。在创建应用程序期间只选择您的应用程序所需的范围，并在向用户发送 Cloudflare 同意请求时包含该范围列表。

用户可以在同意之前查看请求的范围。

适用于私有和公共用途的应用程序

应用程序开始时具有 private 可见性。私有应用程序只能由创建该应用程序的账户的成员使用。

要使任何 Cloudflare 用户都能使用该应用程序，请完成 public 可见性的先决条件。

有关更多信息，请参阅客户端可见性。

客户端域名验证

在将应用程序公开之前，您必须验证客户端域名。域名验证有助于用户确认应用程序所有者控制着同意页面上显示的域名。

验证后，用户将在同意页面上看到已验证徽章。

有关更多信息，请参阅域名验证。

了解更多

有关更多信息，请参阅 OAuth 客户端。

Workers - 新增 Workers 批量机密（secrets）API 端点

Wed, 03 Jun 2026 00:00:00 GMT

您现在可以使用批量机密端点在单个请求中为您的 Worker 创建、更新或删除多个机密（secrets）。

包含具有值的机密以进行创建或更新。
将机密设置为 null 以进行删除。
请求中未包含的机密将保持不变。

以下示例创建 API_KEY，更新已存在的 DB_PASSWORD，并删除 OLD_SECRET：

{
  "secrets": {
    "API_KEY": { "type": "secret_text", "name": "API_KEY", "text": "my-api-key" },
    "DB_PASSWORD": { "type": "secret_text", "name": "DB_PASSWORD", "text": "my-db-password" },
    "OLD_SECRET": null
  }
}

您可以使用 wrangler secret bulk 在命令行中执行相同的操作：

npx wrangler secret bulk < secrets.json

要删除某个键，请在 JSON 文件中将其值设置为 null。.env 文件不支持删除操作。

每个请求最多支持 100 次总操作（包括创建、更新和删除的组合）。

Workers - 在您操作系统的钥匙串中存储 Wrangler 的 OAuth 凭证

Wed, 03 Jun 2026 00:00:00 GMT

Wrangler 现在可以将 wrangler login 返回的 OAuth 凭证存储在 AES-256-GCM ↗ 加密的文件中，加密密钥保存在您的操作系统钥匙串中。默认行为没有改变 —— 除非您选择启用，否则凭证仍保存在明文 TOML 文件中。

要选择启用，请运行：

npx wrangler login --use-keyring

该选择会在 Wrangler 调用之间持久保存。使用 npx wrangler login --no-use-keyring 可以取消选择，或者使用 CLOUDFLARE_AUTH_USE_KEYRING 环境变量覆盖单个命令的首选项。

wrangler whoami 现在会报告凭证的存储位置：

🔐 Credentials are stored in: Encrypted file (~/.config/.wrangler/config/default.enc) with key in macOS Keychain (service=wrangler, account=default)

各平台后端：

macOS 通过 /usr/bin/security 使用内置的 Keychain。
Linux 通过 libsecret-tools 包中的 secret-tool CLI 使用 libsecret ↗。
Windows 通过 @napi-rs/keyring ↗ 使用凭据管理器 (Credential Manager)，该包在您首次选择启用时按需安装。

有关完整详细信息，请参阅在操作系统钥匙串中存储 OAuth 凭证，包括启用/禁用时的迁移行为以及 CLOUDFLARE_AUTH_USE_KEYRING 环境变量。

Workflows, Workers - 直接从 Workflow 绑定调度 Workflow 实例

Tue, 02 Jun 2026 15:00:00 GMT

您现在可以在 wrangler.jsonc 中直接将 cron 计划附加到 Workflow 绑定（binding）。每次计划运行都会自动创建一个新的 Workflow 实例，因此您无需定义单独的带有 scheduled 处理程序的 Worker 来按间隔触发您的 Workflow。

例如，您可以在同一个 Workflow 上配置每小时、每 15 分钟或工作日计划：

{
	"workflows": [
		{
			"name": "my-scheduled-workflow",
			"binding": "MY_WORKFLOW",
			"class_name": "MyScheduledWorkflow",
			"schedules": ["0 * * * *", "*/15 * * * *", "0 9 * * MON-FRI"],
		},
	],
}

Cron 工作负载获得 Workflows 的所有相同优势，包括内置重试、多步骤持久执行以及 Workflows 的可配置超时。

import {
	WorkflowEntrypoint,
	WorkflowEvent,
	WorkflowStep,
} from "cloudflare:workers";

// 根据 wrangler.jsonc 中为 MY_WORKFLOW 绑定定义的每个 cron 计划自动运行。
export class MyScheduledWorkflow extends WorkflowEntrypoint<Env> {
	async run(event: WorkflowEvent, step: WorkflowStep) {
		const data = await step.do("fetch source data", async () => {
			return await fetchSourceData();
		});

		// 如果此步骤失败，则仅使用以下自定义逻辑重试此步骤
		await step.do(
			"process and store results",
			{
				retries: { limit: 5, delay: "30 seconds", backoff: "exponential" },
				timeout: "10 minutes",
			},
			async () => {
				await processAndStore(data);
			},
		);
	}
}

这使得构建定期计划的作业（例如数据库备份、发票生成、报告聚合和清理任务）变得更加容易，而无需配置单独的 Cron Trigger 入口点。

有关更多信息，请参阅触发 Workflows。

Agents, Workers - Agents SDK v0.14.0：Agent 技能、信使（messengers）、计划任务、Workflows 以及强化的聊天恢复

Tue, 02 Jun 2026 00:00:00 GMT

Agents SDK ↗ 的最新版本添加了四种使用 @cloudflare/think 进行构建的新方式：按需 Agent 技能（Agent Skills）、聊天信使（chat messengers，从 Telegram 开始）、声明式计划任务以及 Workflows 内部的持久推理步骤。此版本还显著强化了持久聊天恢复，因此轮次能够可靠地度过生产环境中的部署、驱逐和停滞的模型流。

Agent 技能（Agent Skills）（实验性）

给 agent 一个按需指令、资源和脚本的目录。技能源将目录添加到系统 Prompt 中，而模型仅在任务匹配时才激活技能 —— 因此庞大的功能库不会膨胀每个 Prompt。

import { Think, skills } from "@cloudflare/think";
import bundledSkills from "agents:skills";

export class SkillsAgent extends Think {
	getSkills() {
		return [
			bundledSkills,
			skills.r2(this.env.SKILLS_BUCKET, { prefix: "skills/" }),
		];
	}
}

import { Think, skills } from "@cloudflare/think";
import bundledSkills from "agents:skills";

export class SkillsAgent extends Think<Env> {
	getSkills() {
		return [
			bundledSkills,
			skills.r2(this.env.SKILLS_BUCKET, { prefix: "skills/" }),
		];
	}
}

agents:skills 导入通过 Agents Vite 插件打包本地的 ./skills 目录（每个技能一个目录，每个目录包含一个 SKILL.md）。技能也可以从 R2 或清单（manifest）中加载。当技能可用时，Think 会暴露 activate_skill、read_skill_resource 和一个可选的 run_skill_script 工具。技能加载是弹性的：重复或失败的源将被跳过并发出警告，而不会损坏 agent。

Agent 技能处于实验性阶段，尤其是脚本执行还处于早期阶段。API 可能会在未来的版本中发生变化。我们非常期待您的反馈 —— 请在 Agents 仓库 ↗中告诉我们您正在构建什么以及缺少了什么。

信使（Messengers）

将 Think agent 直接连接到聊天平台。Think 拥有 Webhook 路由、会话路由、持久回复纤程（durable reply fiber）以及流式传送回提供商。Telegram 作为第一个提供商发布。

import { Think } from "@cloudflare/think";
import {
	defineMessengers,
	ThinkMessengerStateAgent,
} from "@cloudflare/think/messengers";
import telegramMessenger from "@cloudflare/think/messengers/telegram";

export { ThinkMessengerStateAgent };

export class SupportAgent extends Think {
	getMessengers() {
		return defineMessengers({
			telegram: telegramMessenger({
				token: this.env.TELEGRAM_BOT_TOKEN,
				userName: "support_bot",
				secretToken: this.env.TELEGRAM_WEBHOOK_SECRET_TOKEN,
			}),
		});
	}
}

import { Think } from "@cloudflare/think";
import {
	defineMessengers,
	ThinkMessengerStateAgent,
} from "@cloudflare/think/messengers";
import telegramMessenger from "@cloudflare/think/messengers/telegram";

export { ThinkMessengerStateAgent };

export class SupportAgent extends Think<Env> {
	getMessengers() {
		return defineMessengers({
			telegram: telegramMessenger({
				token: this.env.TELEGRAM_BOT_TOKEN,
				userName: "support_bot",
				secretToken: this.env.TELEGRAM_WEBHOOK_SECRET_TOKEN,
			}),
		});
	}
}

默认情况下，每个 Chat SDK 线程都映射到其自己的 Think 子 agent，因此群聊和直接消息不会共享内存。支持多个机器人、自定义会话路由和自定义提供商。

计划任务

使用类型化的领域特定语言 (DSL) 声明循环的、具有时区感知的 Prompt 和处理器。Think 在启动时协调声明，并在每次运行后重新设定下一次发生，由持久幂等提交提供支持。

import { Think, defineScheduledTasks } from "@cloudflare/think";

export class DigestAgent extends Think {
	getScheduledTasks() {
		return defineScheduledTasks({
			weeklyCommitReport: {
				schedule: "every week on monday at 09:00",
				prompt:
					"Compile my GitHub commits for the last week and summarize them.",
			},
			workout: {
				schedule: "every day at 08:00 in Europe/London",
				prompt: "Start my workout.",
			},
		});
	}
}

import { Think, defineScheduledTasks } from "@cloudflare/think";

export class DigestAgent extends Think<Env> {
	getScheduledTasks() {
		return defineScheduledTasks({
			weeklyCommitReport: {
				schedule: "every week on monday at 09:00",
				prompt:
					"Compile my GitHub commits for the last week and summarize them.",
			},
			workout: {
				schedule: "every day at 08:00 in Europe/London",
				prompt: "Start my workout.",
			},
		});
	}
}

Think Workflows

使用 ThinkWorkflow 和 step.prompt() 在 Cloudflare Workflow 内部运行模型驱动的推理步骤，具有持久的类型化结构化输出、长时间等待和审批门槛。

import { z } from "zod";
import { ThinkWorkflow } from "@cloudflare/think/workflows";

const draftSchema = z.object({
	title: z.string(),
	summary: z.string(),
	labels: z.array(z.string()),
});

export class TriageWorkflow extends ThinkWorkflow {
	async run(event, step) {
		const draft = await step.prompt("triage-issue", {
			prompt: `Triage issue #${event.payload.issueNumber}`,
			output: draftSchema,
			timeout: "3 days",
		});

		await step.do("apply-labels", async () => {
			await this.agent.applyLabels(draft.labels);
		});
	}
}

import { z } from "zod";
import { ThinkWorkflow } from "@cloudflare/think/workflows";
import type { ThinkWorkflowStep } from "@cloudflare/think/workflows";
import type { AgentWorkflowEvent } from "agents/workflows";

const draftSchema = z.object({
	title: z.string(),
	summary: z.string(),
	labels: z.array(z.string()),
});

export class TriageWorkflow extends ThinkWorkflow<TriageAgent, Params> {
	async run(event: AgentWorkflowEvent<Params>, step: ThinkWorkflowStep) {
		const draft = await step.prompt("triage-issue", {
			prompt: `Triage issue #${event.payload.issueNumber}`,
			output: draftSchema,
			timeout: "3 days",
		});

		await step.do("apply-labels", async () => {
			await this.agent.applyLabels(draft.labels);
		});
	}
}

针对持久聊天恢复的生产硬化

持久聊天轮次一直被设计为在轮次途中部署或 Durable Object 驱逐后存活。此版本是针对该机制进行生产硬化的重大更新。

在部署期间具有更好的恢复能力。 轮次现在可以度过持续部署和驱逐，而不会丢失已完成的工作，也不会重新运行已经运行过的工具。
实时的 “recovering…” 信号。 useAgentChat 暴露了一个新的 isRecovering 标志，因此恢复中的轮次会显示进度，而不是看起来像冻结了一样。大多数 UI 将 isStreaming || isRecovering 渲染为“忙碌（busy）”。
停滞的流恢复。 设置 chatStreamStallTimeoutMs 可以将挂起的提供商流路由到相同的恢复路径中，而不是留下一个无限旋转的加载指示器（spinner）。
子 agent 重新挂载。 在父节点恢复时，正在运行的 agentTool() 子节点会重新挂载到其结果上，而不是被放弃并重新运行，因此长期运行的子节点在部署下不再丢失工作。

MCP 传输改进

可恢复的流 — 基于服务器发送事件（SSE）的正在运行的工具调用可在连接中断时存活。客户端使用 Last-Event-ID 重新连接并回放它们遗漏的任何内容。
可读的服务器 ID — addMcpServer 接受一个可选的 id，因此工具会呈现为可读的键（例如 tool_github_create_pull_request），而不是不透明的连接 ID。
更好地处理并发请求 — 重叠的 JSON-RPC 请求现在可以跨 HTTP 和 RPC 传输正确关联到其响应。

其他改进

压缩 — Session 的 tokenCounter 现在还驱动压缩边界决策（“压缩什么”），而不仅仅是触发/不触发。
@cloudflare/worker-bundler — 为 createWorker 添加了 virtualModules 选项，以便在打包（bundling）期间提供内存中模块源。
客户端工具继续运行 — 并行工具结果现在合并为一个单一的继续，立即恢复请求会附加到挂起的继续上，并且服务器端 needsApproval 继续会在批准后可靠地恢复。

升级

要更新到最新版本：

npm i agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest

yarn add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest

pnpm add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest

bun add agents@latest @cloudflare/think@latest @cloudflare/ai-chat@latest

有关更多信息，请参阅 Agents API 参考和聊天 Agent 文档。

Cloudflare WAN, Cloudflare One - Cisco IOS XE

Tue, 02 Jun 2026 00:00:00 GMT

用于 Cloudflare WAN 的 Cisco IOS XE 第三方集成指南已更新，包含以下内容：

后量子密码学 (PQC)
策略路由 (PBR)
IP 服务水平协议 (IP SLA)

此链接将直接带您进入已更新的 Cisco IOS XE 指南。

Logs - Cloudflare Logs 中的新 Turnstile Events Logpush 数据集

Mon, 01 Jun 2026 00:00:00 GMT

Cloudflare 已更新 Logpush 数据集：

新数据集

Turnstile Events：新数据集，字段包括 ASN、Action、BrowserMajor、BrowserName、ClientIP、CountryCode、EventType、Hostname、OSMajor、OSName、Sitekey、Timestamp 和 UserAgent。

有关每个数据集的完整字段定义，请参阅 Logpush 数据集。

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.5.1155.1)

Fri, 29 May 2026 00:55:38 GMT

A new Beta release for the macOS Cloudflare One Client is now available on the beta releases downloads page.

This release introduces the new Cloudflare One Client UI for macOS! You can expect a cleaner and more intuitive design as well as easier access to common actions and information. Here are some of the many things we have found our users appreciate:

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

The client now applies DNS search suffixes configured in your device profile / network policy. Administrators can push a list of DNS search domains that the client appends to single-label queries, alongside any system-configured suffixes. See DNS search suffixes for details.
Administrators can now control which virtual networks (VNETs) are available to which users via WARP device profile settings in the Zero Trust dashboard. Previously, every VNET in the organization was visible to every device; you can now scope the VNET picker per profile so users only see the networks relevant to them. See VNET availability for details.
Added a local-file signal source for Emergency Disconnect. In addition to the existing HTTPS polling mechanism, administrators can now configure WARP to monitor for a file on disk; the presence of the file triggers an emergency disconnect even if both Cloudflare and your own infrastructure are unreachable. Either signal being asserted triggers disconnect; both must be cleared for normal operation to resume.
Added new warp-cli debug commands for interactive connection diagnosis. See Extra debug logging for details.
The local DNS proxy now supports DNSSEC passthrough. DNSSEC-signed responses are forwarded to the application intact (including DO/AD bits and RRSIG records), so applications that validate DNSSEC locally — including resolvers and the dig/drill tooling — work correctly through the client.
Added a new MDM format for organization-wide settings, including a cleaner way to configure the compliance environment (e.g. FedRAMP). The previous per-configuration approach still works, but the new format is now recommended. See the updated Cloudflare One MDM documentation for details.
Client Certificate device-posture checks now support template variables (e.g. ${serial_number}, ${device_uuid}) in the Subject Alternative Name field, matching what the documentation has always claimed. Previously only the Common Name field accepted variables, which broke posture rules that pinned identity to a SAN entry.
Fixed the in-client captive-portal browser rendering a blank "Success" page on some airline Wi-Fi networks (United inflight Wi-Fi was the reported case). The browser now reliably loads the airline's real portal page so users can complete sign-in from inside the client instead of having to open a separate browser.
Fixed an issue in proxy mode where hostnames containing underscores (e.g. ai_app.com) were rejected, breaking apps that depend on such hostnames (notably ChatGPT sandbox apps). The local proxy now accepts underscore-containing hostnames in CONNECT requests.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of split tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.5.1155.1)

Fri, 29 May 2026 00:55:37 GMT

A new Beta release for the Windows Cloudflare One Client is now available on the beta releases downloads page.

This release introduces the new Cloudflare One Client UI for Windows! You can expect a cleaner and more intuitive design as well as easier access to common actions and information. Here are some of the many things we have found our users appreciate:

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

The client now applies DNS search suffixes configured in your device profile / network policy. Administrators can push a list of DNS search domains that the client appends to single-label queries, alongside any system-configured suffixes. See DNS search suffixes for details.
Administrators can now control which virtual networks (VNETs) are available to which users via WARP device profile settings in the Zero Trust dashboard. Previously, every VNET in the organization was visible to every device; you can now scope the VNET picker per profile so users only see the networks relevant to them. See VNET availability for details.
Added mandatory authentication. When enabled via MDM, the Cloudflare One Client blocks all Internet traffic from the moment the machine boots until the user authenticates, closing the visibility gap on newly deployed devices and during re-authentication. See the announcement blog and documentation for details.
Added a local-file signal source for Emergency Disconnect. In addition to the existing HTTPS polling mechanism, administrators can now configure WARP to monitor for a file on disk; the presence of the file triggers an emergency disconnect even if both Cloudflare and your own infrastructure are unreachable. Either signal being asserted triggers disconnect; both must be cleared for normal operation to resume.
Added new warp-cli debug commands for interactive connection diagnosis. See Extra debug logging for details.
The local DNS proxy now supports DNSSEC passthrough. DNSSEC-signed responses are forwarded to the application intact (including DO/AD bits and RRSIG records), so applications that validate DNSSEC locally — including resolvers and the dig/drill tooling — work correctly through the client.
Added a new MDM format for organization-wide settings, including a cleaner way to configure the compliance environment (e.g. FedRAMP). The previous per-configuration approach still works, but the new format is now recommended. See the updated Cloudflare One MDM documentation for details.
Client Certificate device-posture checks now support template variables (e.g. ${serial_number}, ${device_uuid}) in the Subject Alternative Name field, matching what the documentation has always claimed. Previously only the Common Name field accepted variables, which broke posture rules that pinned identity to a SAN entry.
The UseWebView2 registry value (HKLM\SOFTWARE\Cloudflare\CloudflareWARP\UseWebView2 = y) is once again honored by the new GUI for authentication, so administrators who prefer the embedded WebView2 browser for sign-in can opt back in. This setting was effectively ignored in the previous release; the default browser was always used. This key is now also honored for re-authentications.
Fixed a crash in the authentication browser when navigating to a site that prompts for browser permissions (microphone, camera, notifications, etc.). The same fix had previously landed for the captive-portal browser; this extends it to the auth browser.
Fixed an issue in proxy mode where hostnames containing underscores (e.g. ai_app.com) were rejected, breaking apps that depend on such hostnames (notably ChatGPT sandbox apps). The local proxy now accepts underscore-containing hostnames in CONNECT requests.

Known issues

An error indicating that Microsoft Edge can't read and write to its data directory may be displayed during captive portal login; this error is benign and can be dismissed.
Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of Split Tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.
Windows ARM may prompt the user to close running applications while trying to install this version. Simply click “Ok” with the default highlighted option.
DNS resolution may be broken when the following conditions are all true:
- The client is in Secure Web Gateway without DNS filtering (tunnel-only) mode.
- A custom DNS server address is configured on the primary network adapter.
- The custom DNS server address on the primary network adapter is changed while the client is connected.
  To work around this issue, please reconnect the client by selecting "disconnect" and then "connect" in the client user interface.

Agents - 通过 Cloudflare Tunnel 分享 sandbox 预览

Fri, 29 May 2026 00:00:00 GMT

Sandboxes 可以通过 sandbox.tunnels 命名空间将容器内运行的服务暴露到公共预览 URL。SDK 在 sandbox 内部使用 cloudflared，因此你可以在不配置 exposePort() 或自定义域名的情况下共享正在运行的服务。

默认情况下，sandbox.tunnels.get(port) 会在零配置的 *.trycloudflare.com URL 上创建一个快速隧道 ↗——无需 Cloudflare 账户、DNS 记录或自定义域名。这非常适合快速开发以及 .workers.dev 部署。

import { getSandbox } from "@cloudflare/sandbox";

const sandbox = getSandbox(env.Sandbox, "my-sandbox");
await sandbox.startProcess("python -m http.server 8080");

const tunnel = await sandbox.tunnels.get(8080);
console.log(tunnel.url); // → https://random-words-here.trycloudflare.com

import { getSandbox } from "@cloudflare/sandbox";

const sandbox = getSandbox(env.Sandbox, "my-sandbox");
await sandbox.startProcess("python -m http.server 8080");

const tunnel = await sandbox.tunnels.get(8080);
console.log(tunnel.url); // → https://random-words-here.trycloudflare.com

命名隧道

如需更多控制，你可以通过 sandbox.tunnels.get(port, { name }) 创建命名隧道。命名隧道绑定一个由 Cloudflare Tunnel 支持的主机名（<name>.<your-zone>），并在你的区域上创建 CNAME 记录，最终生成类似 https://my-app-preview.example.com ↗ 的地址。

与每次都生成新随机 URL 的快速隧道不同，命名隧道生成的持久 URL 在容器重启后仍然有效。这使命名隧道适用于需要对隧道及其源站进行控制的生产用途。

const tunnel = await sandbox.tunnels.get(8080, { name: "my-app-preview" });
console.log(tunnel.url); // → https://my-app-preview.example.com

const tunnel = await sandbox.tunnels.get(8080, { name: "my-app-preview" });
console.log(tunnel.url); // → https://my-app-preview.example.com

调用 sandbox.destroy() 会在销毁容器的同时拆除 Cloudflare Tunnel 和关联的 DNS 记录，因此不会留下悬空的隧道或记录。

升级

升级到最新版本：

npm i @cloudflare/sandbox@latest

yarn add @cloudflare/sandbox@latest

pnpm add @cloudflare/sandbox@latest

bun add @cloudflare/sandbox@latest

有关完整的 API 详情，请参阅 Sandbox 隧道参考。

D1 - D1 迁移通过 `migrations_pattern` 支持嵌套布局

Fri, 29 May 2026 00:00:00 GMT

现在，您可以使用新的 migrations_pattern D1 绑定（binding）配置，将 wrangler d1 migrations apply 指向嵌套的迁移布局——例如由 Drizzle ↗ 生成的布局（migrations/0001_init/migration.sql）：

{
	"d1_databases": [
		{
			"binding": "DB",
			"database_name": "my-database",
			"database_id": "<UUID>",
			"migrations_dir": "migrations",
			"migrations_pattern": "migrations/*/migration.sql",
		},
	],
}

migrations_pattern 是一个用于发现迁移文件的 Glob 模式（相对于您的 Wrangler 配置文件）。它的默认值是 ${migrations_dir}/*.sql，因此现有项目无需任何修改即可继续运行。每个迁移的名称都会以相对于 migrations_dir 的路径记录在 migrations 表中。

欲了解更多信息，请访问 D1 的迁移文档。

Logs - Cloudflare Logs 中多个 Logpush 数据集的字段更新

Fri, 29 May 2026 00:00:00 GMT

Cloudflare 已更新 Logpush 数据集：

现有数据集的字段更新

DEX Device State Events（新增）：DeviceRegistrationProfileID。
Gateway HTTP（新增）：AddedHeaders、DeletedHeaders 和 SetHeaders。
HTTP requests（新增）：MatchedRules。

有关每个数据集的完整字段定义，请参阅 Logpush 数据集。

Radar - Cloudflare Radar 后量子检查器中的 TLS 漏洞检测

Fri, 29 May 2026 00:00:00 GMT

Radar 的后量子 TLS 支持检查器 ↗现在还可以报告握手测试期间检测到的 TLS 漏洞。当被扫描的主机存在兼容性问题时，结果中会包含检测到的具体漏洞详情，以及排查和修复每个问题的指导。漏洞部分仅在发现问题的主机中显示。

检测到的 TLS 漏洞如下：

Split ClientHello — 连接在发送分片后量子 ClientHello 时失败，但使用经典握手可成功。通常由无法重组分割 TLS 消息的中间件或防火墙引起。
HRR Failure — 服务器发送了 HelloRetryRequest，但之后无法完成握手。
Unknown Keyshare — 服务器无法处理未知密钥交换算法，并以失败告终，而非按 TLS 1.3 规范要求响应 HelloRetryRequest。

漏洞检测数据可通过现有的 /post_quantum/tls/support 端点获取。

访问后量子加密 ↗页面以测试主机。

Realtime - Cloudflare 实时 WebSocket 适配器现支持自动重连并可缓冲 WebRTC 媒体

Fri, 29 May 2026 00:00:00 GMT

Cloudflare 实时 SFU 是一款运行在 Cloudflare 全球网络上的 WebRTC 选择性转发单元，使您无需管理 SFU 基础设施或区域，即可在全球 WebRTC 客户端之间路由实时音频、视频和数据。

当您使用 WebSocket 适配器将 WebRTC 媒体流传输至 WebSocket 端点时，该适配器现在可在端点短暂断连或重启后自动重连并缓冲音视频。

将 WebRTC 媒体流传输至 WebSocket 端点

许多团队还将实时 SFU 用作后端应用程序的媒体层，例如转录、录制、笔记和 Agent 媒体处理服务。这些系统通常需要在后端基础设施中消费来自 SFU 的实时 WebRTC 音频或视频，包括 Durable Objects、Workers、Containers 或外部服务，而无需自行运行 WebRTC 客户端。

WebSocket 适配器通过将 WebRTC 媒体从 SFU 以应用程序可消费的载荷形式流式传输至标准 WebSocket 端点来弥合这一差距：PCM 音频帧和 JPEG 视频帧。

变更内容

当您在 Stream 模式（出口）下使用 WebSocket 适配器将实时音视频从 SFU 发送到您自己的 WebSocket 端点时，SFU 现在会在端点短暂断连或重启后自动重连。这对于长时间运行的媒体管道尤其有用，因为在录制、转录或实时分析任务仍在进行时，WebSocket 端点可能会短暂重启。

此前，WebSocket 端点的短暂断连可能导致适配器关闭，需要应用程序在媒体恢复前重新创建适配器。现在，SFU 无需更改 API 即可重试同一端点长达 5 秒。如果端点在此时间窗口内恢复，音视频传输将自动恢复。

重连行为还包含实时优先媒体缓冲，因此短暂中断可减少媒体丢失，而无需重播过时视频。

重连行为

重连期间：

音频使用有限的短暂积压队列来减少可听见的丢失。如果中断时间超过积压队列的覆盖范围，较旧的音频可能会被丢弃。
视频从最新可用的 JPEG 帧恢复，而不是重播过时帧。
恢复为尽力而为，不保证无间隙或精确一次传递。

如果端点在 5 秒重连窗口后仍不可用，适配器将关闭并必须重新创建。

了解更多

Security Center - 安全扫描更频繁

Fri, 29 May 2026 00:00:00 GMT

Security Insights 扫描现在运行得更频繁。Cloudflare 对 Free 账户每 7 天扫描一次，对 Pro 和 Business 账户每 3 天扫描一次，对 Enterprise 账户每天进行扫描。

此外，现在所有账户和区域默认都会接受扫描。在 Cloudflare 检查您的账户是否存在配置错误、漏洞和其他安全风险之前，您不再需要手动启用扫描。

任何计划现在都可以使用细粒度的按需扫描。您可以从 Cloudflare 仪表板触发针对任何区域、见解或见解类型的按需扫描，以便在解决问题后快速重新检查您的安全状况。

欲了解更多信息，请参阅 Security Insights 文档。

Access - 用于 MCP 服务器门户的工具和提示词别名

Thu, 28 May 2026 00:00:00 GMT

当您通过 MCP 服务器门户连接第三方 MCP 服务器时，您无法控制服务器作者如何命名工具或编写描述。不明确的名称使 AI 代理更难选择正确的工具，也使用户更难理解可用内容。

您现在可以直接在门户上重命名工具和提示词并重写其描述，而无需修改上游服务器。例如，名为 super_cool_tool 的工具可以变成 search_customer_records，并配有专门针对您组织定制的描述。

修改后的工具会在工具列表中显示 **Modified（已修改）**标签，以便管理员一眼就能看出哪些工具被自定义过。

别名会覆盖 MCP 客户端接收到的元数据。您可以在两个层级设置它们：

针对每个门户：仅在特定门户内适用。优先级高于服务器级别的别名。
针对每个服务器：适用于所有使用该服务器的门户。

您可以随时重置别名以恢复原始的上游名称。

欲了解更多信息，请参阅工具和提示词别名。

Browser Run - 直接从 Workers 使用 Browser Run Quick Actions

Thu, 28 May 2026 00:00:00 GMT

您现在可以使用浏览器绑定（browser binding）上的 quickAction() 方法，直接从 Cloudflare Worker 调用 Browser Run Quick Actions。这消除了对 API 令牌或外部 HTTP 请求的需求，从而简化了 Workers 与 Browser Run 的交互方式。您的 Worker 会在 Cloudflare 的网络上直接与 Browser Run 进行通信，使得代码更简单，延迟更低。

通过 quickAction() 方法，您可以：

从 URL 或 HTML 截取屏幕截图
生成带有自定义样式、页眉和页脚的 PDF
从完全渲染的页面中提取 HTML 内容
将页面转换为 Markdown
使用 AI 提取结构化 JSON
使用 CSS 选择器抓取元素
从页面获取所有链接
截取快照（在一次请求中捕获 HTML + 屏幕截图）

要开始使用，请将浏览器绑定（browser binding）添加到您的 Wrangler 配置中：

{
  "compatibility_date": "2026-03-24",
  "browser": {
    "binding": "BROWSER"
  }
}

compatibility_date = "2026-03-24"

[browser]
binding = "BROWSER"

然后直接从您的 Worker 调用任何 Quick Action。例如，要截取屏幕截图：

const screenshot = await env.BROWSER.quickAction("screenshot", {
	url: "https://www.cloudflare.com/",
});

const screenshot = await env.BROWSER.quickAction("screenshot", {
  url: "https://www.cloudflare.com/",
});

quickAction() 方法需要 2026-03-24 或更晚的兼容性日期。

有关设置说明和可用操作的完整列表，请参阅 Browser Run Quick Actions。

Cloudflare Mesh, Cloudflare One - Cloudflare Mesh 高可用性副本管理

Thu, 28 May 2026 00:00:00 GMT

Cloudflare Mesh 仪表板现在显示高可用性节点的单副本详情。您可以查看哪个副本是活动状态，查看每个副本的 Mesh IP 和连接详情，并手动触发故障转移——这一切都可以从节点详情页面完成。

新增功能

节点详情页面上的副本选项卡——在副本之间切换以查看每个副本的 Mesh IP、边缘数据中心、源站 IP、平台、版本和运行时间。
活动/备用（Active/passive）徽章，用于识别当前正在路由流量的副本。
手动故障转移——只需单击一下即可将备用副本提升为活动状态。先前的活动副本将切换为备用（standby）状态。
概览表中的 HA 徽章，用于识别运行多个副本的节点。
概览表中显示的活动副本 IP——仪表板现在会解析出哪个副本处于活动状态并显示正确的 Mesh IP。

手动故障转移

要手动提升备用副本：

在 Cloudflare 仪表板 ↗中，前往 Networking（网络） > Mesh。
选择启用了 HA 的节点。
选择备用副本选项卡。
选择 Promote to active（提升为活动） 并确认。

流量会立即重定向到提升后的副本。有关故障转移行为的详情，请参阅高可用性。

Containers - Wrangler 支持用于 Containers 的 SSH ProxyCommand

Thu, 28 May 2026 00:00:00 GMT

Wrangler 支持将 wrangler containers ssh 作为 OpenSSH ProxyCommand 用于 Containers。这允许您的本地 SSH 客户端通过 Wrangler 连接到正在运行的 Container。

ssh -o ProxyCommand="wrangler containers ssh %h" cloudchamber@<INSTANCE_ID>

当标准输入和输出被管道传输时，Wrangler 会将数据转发到 Container 中的 SSH 服务器。您也可以传递 --stdio 来强制使用此模式。

欲了解更多信息，请参阅 SSH 文档。

Email Service - 发送带有命名收件人地址的电子邮件

Thu, 28 May 2026 00:00:00 GMT

除了现有的 from 支持外，您现在还可以在发送电子邮件时为收件人地址添加显示名称。为 to、cc、bcc、replyTo 或 from 传递一个包含 email 和可选 name 字段的对象：

src/index.jsjs

export default {
	async fetch(request, env) {
		const response = await env.EMAIL.send({
			from: { email: "support@example.com", name: "Support Team" },
			to: { email: "jane@example.com", name: "Jane Doe" },
			cc: [
				"manager@company.com",
				{ email: "team@company.com", name: "Engineering Team" },
			],
			subject: "Welcome!",
			html: "<h1>Thanks for joining!</h1>",
			text: "Thanks for joining!",
		});

		return Response.json({ messageId: response.messageId });
	},
};

src/index.tsts

export default {
	async fetch(request, env): Promise<Response> {
		const response = await env.EMAIL.send({
			from: { email: "support@example.com", name: "Support Team" },
			to: { email: "jane@example.com", name: "Jane Doe" },
			cc: [
				"manager@company.com",
				{ email: "team@company.com", name: "Engineering Team" },
			],
			subject: "Welcome!",
			html: "<h1>Thanks for joining!</h1>",
			text: "Thanks for joining!",
		});

		return Response.json({ messageId: response.messageId });
	},
} satisfies ExportedHandler<Env>;

为实现向后兼容，纯字符串形式仍受到完整支持，并且您可以在同一个数组中混合使用字符串和命名对象。

有关完整的请求示例，请参阅 Workers API 和 REST API 文档。

Pipelines - Pipelines 计费方案公布

Thu, 28 May 2026 00:00:00 GMT

Cloudflare Pipelines 是一个流数据平台，可摄取事件，使用 SQL 对其进行转换，并将 JSON、Parquet 或 Apache Iceberg ↗ 表写入 R2。Pipelines 现在公布了基于两个使用维度的计费方案：SQL 转换处理的数据量以及交付到接收器（sink）的数据量。输入（ingress）到 Pipeline 流是免费的。

计费尚未启用。我们将在开始对 Pipelines 使用进行收费之前至少提前 30 天通知。

Pipelines 的计费模型旨在根据您的实际使用量按 GB 收费：

Streams (ingress)：免费，无论数据量大小。
SQL 转换：无状态转换（过滤、重塑、展开、转换、计算）为 0.04 美元 / GB。
Sinks：JSON 输出为 0.03 美元 / GB，Parquet 或 Iceberg 输出为 0.06 美元 / GB。

Workers 免费计划包括每个维度每月 1 GB。Workers 付费计划包括每月 50 GB。

有关完整定价详情和计费示例，请参阅 Pipelines 计费。

R2 SQL - R2 SQL 定价公布

Thu, 28 May 2026 00:00:00 GMT

R2 SQL 是一个无服务器分布式查询引擎，可对存储在 R2 Data Catalog 中的 Apache Iceberg ↗ 表运行 SQL。R2 SQL 现在已发布基于单一维度的定价：即执行查询所扫描的压缩数据量。R2 SQL 的价格为 2.50 美元/TB（0.0025 美元/GB），仅为 AWS Athena 成本的一半，且不到 Google BigQuery 按需付费价格的一半。

计费尚未启用。在开始对 R2 SQL 使用收费之前，我们将至少提前 30 天通知。

扫描的数据量是以从 R2 对象存储中读取的压缩字节数来衡量的。这与您在 R2 存储桶中看到的相符——如果一个 Parquet 文件在磁盘上是 100 MB，那么扫描该文件将按 100 MB 计费。每个查询的最小计费增量为 10 MB。

免费计划每月包含 1 GB，付费计划每月包含 10 GB。标准的 R2 存储和操作费用以及 R2 Data Catalog 费用单独计算。

有关完整的定价详细信息和计费示例，请参阅 R2 SQL 定价。

R2 - R2 Data Catalog 定价公告

Thu, 28 May 2026 00:00:00 GMT

R2 Data Catalog 是直接内置于 R2 存储桶的托管 Apache Iceberg ↗ 数据目录，可被 Spark、Snowflake 和 DuckDB 等任何 Iceberg 兼容引擎查询。R2 Data Catalog 现在已公布目录操作和表压缩的定价，此外还有标准的 R2 存储和操作费用。

计费尚未启用。在开始对 R2 Data Catalog 使用量收费之前，我们将提前至少 30 天通知。

定价基于两个维度：

目录操作：每百万次操作 $9.00，适用于创建表、读取表元数据和更新表属性等元数据请求。
压缩：每处理 1 GB 数据 $0.005，每处理 100 万个对象 $2.00。这些费用仅在为表启用自动压缩时产生。

两个维度均包含月度免费套餐：100 万次目录操作、10 GB 压缩数据处理量和 100 万个压缩对象处理量。

有关完整定价详情和计费示例，请参阅 R2 Data Catalog 定价。

R2 - R2 Data Catalog 获得专属仪表板体验

Thu, 28 May 2026 00:00:00 GMT

R2 Data Catalog 是直接内置于 R2 存储桶的托管 Apache Iceberg ↗ 数据目录。它公开标准 Iceberg REST 目录接口，因此您可以将 Spark、Snowflake、DuckDB 和 R2 SQL 等查询引擎连接到 R2 中的数据。

R2 Data Catalog 现在在 Cloudflare 仪表板中拥有专属部分，取代了之前嵌入在 R2 存储桶配置中的设置面板。新体验包括：

目录概览 — 在一个地方查看所有目录，一览目录请求数量、存储桶大小和表维护状态。
引导式设置向导 — 通过三个步骤创建目录：选择或创建 R2 存储桶、配置表维护（压缩和快照过期）、然后确认。向导会自动创建存储桶并生成服务凭证。
设置管理 — 每个目录的专属设置页面，包含常规配置、表维护、服务凭证和禁用目录等部分。您现在可以直接从仪表板启用和配置快照过期。
内置指标 — 每个目录的指标标签上有五个图表：已压缩字节数、已压缩文件数、目录请求数、存储大小和已过期快照数。

要开始使用，请在 Cloudflare 仪表板中转到 R2 Data Catalog，或参阅快速入门指南和管理目录文档。

Realtime - 在 RealtimeKit 中录制特定参与者的音频轨道

Thu, 28 May 2026 00:00:00 GMT

您现在可以使用 RealtimeKit 的轨道录制功能录制特定参与者的音频轨道。轨道录制为每位参与者创建单独的 WebM 文件，而非单一的合成录制，这对后期处理、转录以及受监管或内容敏感的工作流非常有用。

要录制特定参与者，在启动轨道录制时传入 user_ids：

curl --request POST \
  --url https://api.cloudflare.com/client/v4/accounts/<account_id>/realtime/kit/<app_id>/recordings/track \
  --header 'Authorization: Bearer <api_token>' \
  --header 'Content-Type: application/json' \
  --data '{
  "meeting_id": "97440c6a-140b-40a9-9499-b23fd7a3868a",
  "user_ids": ["user-123", "user-456"]
}'

要在选择性轨道录制中传入 user_ids，需使用以下最低 SDK 版本：

Web Core：@cloudflare/realtimekit 版本 1.4.0 或更高
Web UI Kit：@cloudflare/realtimekit-ui、@cloudflare/realtimekit-react-ui 或 @cloudflare/realtimekit-angular-ui 版本 1.1.2 或更高
Android Core 或 iOS Core：版本 2.0.0 或更高
Android UI Kit 或 iOS UI Kit：版本 1.1.0 或更高

RealtimeKit 提供 SDK 和 UI 组件，让您可以在 Cloudflare 的全球 WebRTC 基础设施上构建自己的会议体验。如今，各团队正在 RealtimeKit 上为全球受众构建从远程医疗到在线教育的各类产品。您可以通过我们的快速入门立即上手，或参考我们的 Cloudflare Meet 仓库 ↗ 作为参考。

Cloudflare One, Gateway - 在 Cloudflare One 中使用自然语言编写正则表达式 (regex)

Wed, 27 May 2026 00:00:00 GMT

支持正则表达式的 Cloudflare Gateway 策略选择器现在可以在仪表板中使用自然语言编写。当使用基于正则表达式的选择器（例如 matches regex）构建策略时，您可以用简明英语描述您想要匹配的内容，Cloudflare Agent 将生成并验证相应的正则表达式。

要开始使用，请在 Gateway 策略构建器中选择兼容正则表达式的选择器，然后选择该图标。您将看到一个用于输入自然语言的字段，例如“以 /api/v1 开头的任何 URL”或“主机中包含 gooogle 的 .com、.net 和 .app 主机”。

您还可以使用该工具来解释现有的正则表达式。如果策略中已包含正则表达式模式，您可以立即生成通俗易懂的语言描述。

内置的反馈机制允许您对每次交互进行评分，以帮助随着时间推移提高输出质量。

有关更多信息，请参阅 Cloudflare One 防火墙策略，并期待很快在数据防泄露（DLP）配置文件中支持相同的功能。

Cloudflare Images - Images 中的转换流（flows）

Wed, 27 May 2026 00:00:00 GMT

流（Flows）是自动规则，它将条件（例如文件扩展名、URL 路径或查询参数）与参数进行匹配。您可以设置一个流，以自动将图像优化应用到您区域上的匹配请求，而无需编写代码或更改 URL。

转换流有两种模式：

提供商流（Provider flows） — 从其他图像优化服务进行迁移。您现有的 URL 将继续工作，同时 Cloudflare 会将特定提供商的参数重写为 Cloudflare 对应的参数。目前，Cloudflare 支持针对 Fastly Image Optimizer 的提供商流。
自定义流（Custom flows） — 为自动格式转换、具有 width=auto 的响应式大小调整或基于目录的优化等使用场景定义您自己的条件和操作。

若要开始使用，请转到 Cloudflare 仪表板 ↗中的 Images > Transformations（转换） > Automation（自动化）。

详细了解转换流。

Cloudflare Tunnel, Cloudflare Tunnel for SASE - Cloudflare Tunnel 现在在启动时运行连接性预检查

Wed, 27 May 2026 00:00:00 GMT

从 cloudflared 版本 2026.5.2 ↗ 开始，Cloudflare Tunnel 直接在二进制文件内部自动执行整个连接性预检查工作流程。以前，客户必须安装 dig 和 netcat 并手动运行这些命令来验证其环境。现在 cloudflared 在启动时以原生方式执行此操作 — 并在某些内容被阻止时提供可操作的修正提示。

在每次运行 cloudflared tunnel run（以及 cloudflared tunnel diag）时，二进制文件现在都会原生检查：

DNS 解析 — region1.v2.argotunnel.com 和 region2.v2.argotunnel.com 解析为有效的 Cloudflare IP。
传输连接性 — 端口 7844 上的出站 UDP (QUIC) 和 TCP (HTTP/2)。
Management API — 发往 api.cloudflare.com 的出站 TCP/443，用于软件更新。

结果将以可扫描的 CLI 表格形式打印，包含以下三种状态：

✅ 通过 — 检查成功。
⚠️ 警告 — 非阻塞问题，例如 Management API 无法访问，因此自动更新将无法工作，但 Tunnel 仍会启动。
❌ 失败 — 阻塞问题，并附有具体的修正提示（例如 Allow outbound UDP on port 7844）。

如果 DNS 无法解析，或者端口 7844 上的 UDP 和 TCP 双双失败，cloudflared 将提前退出并报告失败，而不是在不透明的 failed to dial 错误中循环。

现在每次启动都会自动运行预检查，这还能捕获诸如通宵防火墙策略变更之类的问题退化 — 无需记得重新运行故障排除指南。

要获取这一新行为，请将 cloudflared 升级到版本 2026.5.2 或更高版本。欲了解更多细节，请参阅连接性预检查文档。

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.4.1390.0)

Tue, 26 May 2026 22:26:01 GMT

A new GA release for the macOS Cloudflare One Client is now available on the stable releases downloads page.

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.
Fixed a proxy mode connection stall issue.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of split tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.4.1390.0)

Tue, 26 May 2026 22:26:00 GMT

A new GA release for the Windows Cloudflare One Client is now available on the stable releases downloads page.

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.
Fixed a proxy mode connection stall issue.

Known issues

Registration authentication for devices via the integrated WebView2 browser is unavailable in this version as a temporary measure. As a result, the client will utilize the default browser on the device to complete the authentication process.
An error indicating that Microsoft Edge can't read and write to its data directory may be displayed during captive portal login; this error is benign and can be dismissed.
Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of Split Tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.
Windows ARM may prompt the user to close running applications while trying to install this version. Simply click “Ok” with the default highlighted option.
DNS resolution may be broken when the following conditions are all true:
- The client is in Secure Web Gateway without DNS filtering (tunnel-only) mode.
- A custom DNS server address is configured on the primary network adapter.
- The custom DNS server address on the primary network adapter is changed while the client is connected.
  To work around this issue, please reconnect the client by selecting "disconnect" and then "connect" in the client user interface.

Cloudflare One Client - Cloudflare One Client for Linux (version 2026.4.1390.0)

Tue, 26 May 2026 20:32:41 GMT

A new GA release for the Linux Cloudflare One Client is now available on the stable releases downloads page.

This release introduces the new Cloudflare One Client UI for Linux! You can expect a cleaner and more intuitive design as well as easier access to common actions and information. Here are some of the many things we have found our users appreciate:

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.
Official support for RHEL 9 has been added for Cloudflare Mesh nodes. To install the RHEL 9 package, the Extra Packages for Enterprise Linux (EPEL) repository must be active, as it contains dependencies required for the tray icon and captive portal webview.
Fixed a proxy mode connection stall issue.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of split tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.

Cache - 不可缓存的响应现在将返回 BYPASS 状态

Tue, 26 May 2026 00:00:00 GMT

只要响应不可缓存，Cloudflare 现在就会返回 BYPASS 缓存状态，而不是像以前那样根据 Cloudflare 选择不缓存响应的原因而混合返回 BYPASS 和 MISS。

Cloudflare 可能拒绝缓存响应有多种原因 —— 例如，响应超出了您计划的最大可缓存文件大小、源站发送了 Cache-Control: no-cache、private 或 max-age=0、响应包含 Set-Cookie 标头，或者请求包含 Authorization 标头。

以前，只有其中一些情况会返回 BYPASS。其他情况（例如响应超出最大可缓存文件大小）在每次请求时都会返回 MISS，无论源站缓存控制（Origin Cache Control）是开启还是关闭。因为该响应永远无法被缓存，所以每个随后的请求也会返回 MISS，这看起来与损坏的缓存没有什么区别，很难区分 Cloudflare 是在尝试缓存资产但失败了，还是故意选择不缓存它。

BYPASS 现在一致地表示 Cloudflare 拒绝缓存该响应，无论出于何种原因。MISS 专门保留用于在请求时未在本地缓存中的可缓存响应。

您的分析数据中将出现什么变化

在此更改部署后，您应该会看到：

MISS 率下降：不可缓存的响应不再计为缓存未命中。
BYPASS 率上升：这些相同的响应现在报告为绕过（bypass）。
缓存命中率上升：命中率计算不再包含永远无法被缓存的不可缓存流量，从而为您提供更准确的缓存效果视图。

您的总请求量和源站流量没有变化 —— 只有缓存状态标签不同。

浏览器缓存 TTL 行为得以保留

缓存状态标签是唯一发生改变的内容 —— 针对任何给定的响应，浏览器缓存 TTL 的处理与以前完全相同：

历史上因为 Cloudflare 拒绝缓存而返回 MISS 的响应（例如，超过最大可缓存文件大小的响应）现在返回 BYPASS，但继续应用浏览器缓存 TTL —— 就像它们被标记为 MISS 时一样。
历史上返回 BYPASS 并跳过浏览器缓存 TTL 的响应继续跳过浏览器缓存 TTL。

在两种情况下，应用浏览器缓存 TTL 的决定取决于 Cloudflare 不缓存响应的深层原因，而不是取决于新的 BYPASS 标签。

Flagship - Flagship 现已进入公开 Beta

Tue, 26 May 2026 00:00:00 GMT

Flagship 现已进入公开 Beta。无需出站 HTTP 调用，即可直接在 Cloudflare Workers 中评估功能标志，使用由 Workers KV 和 Durable Objects 支持的全球分布式标志配置。Flagship 支持类型化标志值、定向规则、百分比灰度发布、审计历史记录，以及兼容 OpenFeature 的 SDK。

只需几行代码，即可在 Worker 中评估标志：

src/index.jsjs

export default {
	async fetch(request, env) {
		const showNewCheckout = await env.FLAGS.getBooleanValue(
			"new-checkout",
			false,
		);

		return new Response(showNewCheckout ? "New checkout" : "Standard checkout");
	},
};

src/index.tsts

export default {
	async fetch(request: Request, env: Env): Promise<Response> {
		const showNewCheckout = await env.FLAGS.getBooleanValue("new-checkout", false);

		return new Response(
			showNewCheckout ? "New checkout" : "Standard checkout",
		);
	},
} satisfies ExportedHandler<Env>;

立即在 Cloudflare 仪表板中开始创建标志。请参阅 Flagship 文档以快速入门。

AI Gateway - 通过 AI Gateway 全新的 REST API 调用任何 AI 模型

Thu, 21 May 2026 00:00:00 GMT

AI Gateway 现在开始使用 api.cloudflare.com 上的 AI REST API。无论提供商是 OpenAI、Anthropic、Google 还是托管在 Workers AI 上，您都可以通过一个统一的 API 调用任何模型，并使用相同的端点和身份验证方式。共有四个端点可用：

POST /ai/run — 适用于所有模型和模态的通用端点
POST /ai/v1/chat/completions — 兼容 OpenAI SDK
POST /ai/v1/responses — 兼容 OpenAI Responses API
POST /ai/v1/messages — 兼容 Anthropic SDK

curl -X POST "https://api.cloudflare.com/client/v4/accounts/$CLOUDFLARE_ACCOUNT_ID/ai/v1/chat/completions" \
  --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --header "Content-Type: application/json" \
  --data '{
    "model": "openai/gpt-5.5",
    "messages": [{"role": "user", "content": "What is Cloudflare?"}]
  }'

所有的 AI Gateway 功能（日志记录、缓存、速率限制和护栏）都会自动应用。第三方模型将通过统一计费（Unified Billing）进行计费，因此您无需管理单独的提供商 API 密钥。

第三方模型请求将通过您账户的默认网关（Gateway）进行路由，该网关会在首次使用时自动创建。若要通过特定网关路由请求，请添加 cf-aig-gateway-id 标头。

如果您已经通过现有的 REST API 调用 Workers AI 模型，该路径（/ai/run/@cf/{model}）将继续有效。若要通过 AI Gateway 调用 Workers AI 模型，请使用 @cf/ 模型前缀（例如，@cf/moonshotai/kimi-k2.6）并包含 cf-aig-gateway-id 标头来指定要路由到的网关。

欲了解更多细节和示例，请参阅 REST API 文档。

Billing - 具有新支付方式的现代化账单档案

Thu, 21 May 2026 00:00:00 GMT

账单档案现已拥有现代化 UI，在单一订阅标签下统一了账单信息、支付方式管理和增强的订阅视图。

变更内容

订阅标签将账单信息、支付方式管理和您的订阅整合在一处。支付管理和支付逾期余额流程现在使用最新的结账流程作为产品购买流程，因此您可以使用 Apple Pay、Google Pay、Link 以及通过 Link 即时银行付款，以及银行卡和 PayPal 进行支付。

当发卡机构要求时，新银行卡需完成 3D Secure 身份验证——例如，欧盟依据 PSD2，印度依据 RBI 规定。

有关详情，请参阅账单首页文档。

Cloudflare Fundamentals, Cloudflare One, Cloudflare Tunnel for SASE, Cloudflare Tunnel, Cloudflare Mesh - Cloudflare Tunnel 和 Cloudflare Mesh 的细粒度权限

Thu, 21 May 2026 00:00:00 GMT

您现在可以将 Cloudflare 权限范围限定为单个 Cloudflare Tunnel 实例和 Cloudflare Mesh 节点。管理员可以委派对特定 Tunnel 或 Mesh 节点的访问权限，而无需授予对整个账户中私有网络的控制权。

新增功能

当您添加成员或创建权限策略时，资源选择器现在将 Cloudflare Tunnel 实例和 Cloudflare Mesh 节点列为可限定范围的资源类型。您可以：

向支持操作人员授予对单个 Cloudflare Tunnel 实例的只读角色，以进行日志流传输和诊断，而不会暴露其他 Tunnel 或允许破坏性操作。
向应用程序团队授予对特定 Cloudflare Mesh 节点的写入角色，而无需让他们访问私有网络的其余部分。
将单个策略的范围同时限定为一个或多个 Tunnel 以及 Mesh 节点。

工作原理

细粒度权限是与现有账户级别角色平行的层，它们不会取代后者。

现现的账户级别角色继续有效。 拥有 Cloudflare Access 或 Cloudflare Zero Trust 的成员将保留对账户中每个 Tunnel 和 Mesh 节点的写入访问权限。这确保了与现有自动化和令牌的向后兼容性。
细粒度权限是累加的。 对于针对特定 Tunnel 或 Mesh 节点的任何 API 请求，如果主体具有账户级别角色或该资源的细粒度权限，则将授予访问权限。
资源枚举是感知授权的。 列表端点（GET /accounts/{id}/cfd_tunnel，GET /accounts/{id}/warp_connector）仅返回主体至少具有只读访问权限的资源。

开始使用

配置 Cloudflare Tunnel 的细粒度权限。
配置 Cloudflare One 中 Cloudflare Tunnel 和 Cloudflare Mesh 的细粒度权限。
查看 Cloudflare 角色参考上的资源范围角色。

Workers VPC - 从 Workers VPC 访问 Cloudflare WAN 目标

Thu, 21 May 2026 00:00:00 GMT

You can now use VPC 网络（VPC Network）绑定（binding）与 network_id: "cf1:network" 从 Workers 访问您的整个私有网络，包括：

Cloudflare Mesh 节点和客户端设备
通过 Cloudflare Tunnel 或 Cloudflare Mesh 宣告的子网路由和主机名路由
通过 Cloudflare WAN 接入端（on-ramps）连接的目标 —— GRE、IPsec 和 CNI

这意味着单个 VPC 网络绑定可以将 Worker 请求路由到私有服务，无论这些服务是如何连接到 Cloudflare 的：是通过来自云 VPC 的 Cloudflare Tunnel、私有子网上的 Mesh 节点，还是通过来自您的数据中心或分支机构站点的 Cloudflare WAN 接入端。

{
	"vpc_networks": [
		{
			"binding": "PRIVATE_NETWORK",
			"network_id": "cf1:network",
			"remote": true,
		},
	],
}

[[vpc_networks]]
binding = "PRIVATE_NETWORK"
network_id = "cf1:network"
remote = true

在运行时，您传给 fetch() 的 URL 决定了目标：

// Reach a service behind a Cloudflare WAN IPsec on-ramp
const response = await env.PRIVATE_NETWORK.fetch("http://10.50.0.100:8080/api");

有关配置选项，请参阅 VPC 网络（VPC Networks）。

DNS - 新的 DNS 记录 UX 正在推出

Wed, 20 May 2026 00:00:00 GMT

从今天开始，每个人都可以在 Cloudflare 仪表板中选择加入焕然一新的 DNS 记录页面。在接下来的几周内，这一新体验将首先成为 Free 计划用户的默认体验，随后是付费计划。

新增功能

更佳的表格体验：可调整大小和隐藏的列、行固定、带有逻辑运算符 (AND/OR) 的高级筛选器、可配置的分页以及展开的输入字段（长值不再被截断）。
一流的移动端体验：响应式布局，配有触摸友好的卡片式 UI 以及适用于小屏幕的紧凑型控件。
DNS 快速参考：直接在产品中提供有关 DNS、代理状态和 TTL 的简短解释，帮助用户在不离开页面的情况下配置记录。
现代前端：重构到 Cloudflare 的新 UI 框架上，这提高了性能并为未来的改进奠定了基础。

推出计划

日期可能会根据推出期间收到的反馈而有所变化。

5 月 20 日 - 6 月 5 日：逐步推出到 Free 计划，然后是 Pro 和 Business 计划。
6 月 8 日 - 7 月 3 日：逐步推出到 Enterprise 计划。

分享您的反馈

一旦为您的账户启用了新体验，请在 Cloudflare 仪表板中的 DNS 记录页面顶部寻找反馈链接，并告诉我们您的想法。您的意见将帮助我们确定下一轮改进的优先顺序。

Radar - Cloudflare Radar 上的内容类型分布和 API 流量占比

Wed, 20 May 2026 00:00:00 GMT

Radar 现已在流量页 ↗新增两张图表，提供对 HTTP 流量构成的深入洞察：内容类型分布图表和 API 流量占比图表。

内容类型分布

新的内容类型 ↗图表展示 HTTP 响应内容类型的分布，按高层类别分组。流量类型选择器允许按人工、Bot 或全部流量进行筛选。现有的Bot 与人工对比 ↗图表也新增了内容类型类别筛选器，允许用户查看特定内容类别的 Bot/人工流量拆分。

内容类型类别：

HTML — 网页（text/html）
Images — 所有图片格式（image/*）
JSON — JSON 数据和 API 响应（application/json、*+json）
JavaScript — 脚本（application/javascript、text/javascript）
CSS — 样式表（text/css）
Plain Text（纯文本） — 非格式化文本（text/plain）
Fonts — Web 字体（font/*、application/font-*）
XML — XML 文档和订阅源（text/xml、application/xml、application/rss+xml、application/atom+xml）
YAML — 配置文件（text/yaml、application/yaml）
Video — 视频内容和流媒体（video/*、application/ogg、*mpegurl）
Audio — 音频内容（audio/*）
Markdown — Markdown 文档（text/markdown）
Documents — PDF、Office 文档、ePub、CSV（application/pdf、application/msword、text/csv）
Binary — 可执行文件、压缩包、WebAssembly（application/octet-stream、application/zip、application/wasm）
Serialization — 二进制 API 格式（application/protobuf、application/grpc、application/msgpack）
Other — 所有其他内容类型

CONTENT_TYPE 维度和 contentType 筛选器可用于 HTTP summary、timeseries groups 和 timeseries 端点。

API 流量占比

新的 API 流量 ↗图表显示动态（不可缓存）HTTP 请求流量中 API 相关流量的百分比。API 流量通过返回 200 状态码的 HTTP 请求的 JSON 或 XML 响应内容类型（application/json、application/xml、text/xml）来识别。流量类型选择器允许在人工流量、Bot 流量或全部流量之间切换。

API_TRAFFIC 维度可用于现有的 HTTP summary 和 timeseries groups 端点。apiTraffic 筛选器（API 或 NON_API）也可应用于 HTTP timeseries 请求，以获取仅 API 或非 API 流量的原始请求数量。

访问 Radar 流量页 ↗探索这些新图表。

WAF - WAF 发布 - 2026-05-20

Wed, 20 May 2026 00:00:00 GMT

主要发现

已部署现有规则增强功能，以提高针对广泛 Web 攻击的检测弹性，并加强行为覆盖范围。

持续规则改进

我们正在不断完善托管规则，以提供更具弹性的防护，并对攻击模式进行更深入的洞察。为了确保最佳的安全态势，我们建议持续监控安全事件（Security Events）仪表板，并在部署这些增强功能时调整规则操作。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Sitecore - Cache Poisoning - CVE:CVE-2025-53693 Beta	无	阻断	此规则已合并到原始规则 "Sitecore - Cache Poisoning - CVE:CVE-2025-53693"（ID：）中。

Access - Cloudflare 作为身份提供商和账户成员资格选择器

Tue, 19 May 2026 00:00:00 GMT

Cloudflare Access 现在支持将 Cloudflare 本身用作身份提供商。如果您发布了 Access 应用程序并选择 Cloudflare 作为登录方法，用户可以使用其现有的 Cloudflare 账户登录——无需一次性 PIN，无需第三方 IdP 配置，也无需共享电子邮件收件箱。身份验证由 Cloudflare 自身的账户安全性（包括多因素身份验证）提供支持，因此在大多数用例中，它比基于 OTP 的登录更易于设置且更安全。

Cloudflare 现在是所有新创建的 Zero Trust 账户的默认身份提供商，取代了一次性 PIN（One-time PIN）。

这还启用了两个新功能：

Cloudflare 账户成员选择器（Cloudflare Account Member selector） — 一种新的策略选择器，根据用户在 Cloudflare 账户中的成员资格来进行匹配。您可以针对当前账户，也可以为跨账户访问场景指定不同的账户 ID。
Restrict to account members（限制为账户成员） — 一种身份提供商配置选项，将身份验证限制为属于您 Cloudflare 账户成员的用户。

要开始使用，请在您的 Zero Trust 设置中将 Cloudflare 添加为身份提供商。

Artifacts, Queues - 针对 Artifacts 生命周期事件的事件订阅

Tue, 19 May 2026 00:00:00 GMT

您现在可以接收针对 Artifacts 仓库更改的事件通知，并在 Worker 中使用它们来构建提交驱动的自动化。

这允许您：

在创建或导入仓库时运行自定义工作流。
在代理（agent）向仓库推送代码时启动构建并部署更改。
在每次推送时触发评审代理。

可用事件包括：

账户级别事件（artifacts 源）— repo.created、repo.deleted、repo.forked、repo.imported
仓库级别事件（artifacts.repo 源）— pushed、cloned、fetched

要了解更多信息，请参阅 Artifacts 文档。

CASB - CASB 新增对 Claude Compliance API 的支持

Tue, 19 May 2026 00:00:00 GMT

Cloudflare CASB 现已与 Claude Compliance API ↗ 集成。此增强功能为安全团队提供了对其组织内 Claude 使用模式、管理员活动和合规相关事件的可见性。

Claude Compliance API 提供对 Claude Enterprise 和 Claude Platform 内审计日志及管理操作的结构化访问。Cloudflare CASB 摄取这些数据，以呈现帮助组织增强安全态势并执行 AI 治理的安全发现结果。

主要功能

从今日起，安全团队可以扫描以下资产的安全发现结果：

公开项目 — 设置为公开可见性的项目
项目附件 — 添加到项目中违反 DLP 策略的文件和文档
聊天文件 — 违反 DLP 策略的用户上传和提供商生成的文件
聊天消息 — 违反 DLP 策略的用户提示和提供商响应
Artifacts — 违反 DLP 策略的提供商生成的文档和文件

了解更多

此集成向所有 Cloudflare One 客户开放。新 Cloudflare 客户可以注册并免费开始使用前两个集成。现有客户可直接在仪表板中启用集成。集成在启用后立即开始扫描，并在几分钟内在仪表板中呈现发现结果。

Radar - Cloudflare Radar 上的 MRT Explorer

Tue, 19 May 2026 00:00:00 GMT

Radar 现已在路由（Routing）部分新增 MRT Explorer ↗ 工具。RIPE RIS 和 RouteViews 等路由收集器会发布包含 BGP 通告、撤销及路由属性的 MRT（Multi-Threaded Routing Toolkit）转储文件。新工具可完全在浏览器中解析这些文件——数据不会被上传。

加载文件

粘贴 URL 以远程获取 MRT 文件，将文件拖放到页面上，或浏览本地文件。支持 gzip 和 bzip2 压缩文件。还提供示例文件以便快速上手。

检查事件

解析完成后，工具会列出每个 BGP 事件，包括时间戳、前缀、AS 路径、OTC（Only to Customer）和社区属性。

事件详情

点击"查看详情"操作会弹出模态框，显示更多属性和完整的事件 JSON。

可分享 URL

通过 URL 加载文件时，查询字符串会保存来源，以便直接分享链接——接收者的浏览器会立即获取并解析同一文件。

试用 Cloudflare Radar 上的 MRT Explorer ↗。

Artifacts - 使用 Wrangler CLI 管理 Artifacts 命名空间和仓库

Mon, 18 May 2026 00:00:00 GMT

您现在可以直接从 Wrangler CLI 管理 Artifacts 命名空间、仓库以及仓库范围的令牌。

可用命令：

wrangler artifacts namespaces list — 列出您账户中的 Artifacts 命名空间。
wrangler artifacts namespaces get — 获取命名空间的元数据。
wrangler artifacts repos create — 在命名空间中创建仓库。
wrangler artifacts repos list — 列出命名空间中的仓库。
wrangler artifacts repos get — 获取仓库的元数据。
wrangler artifacts repos delete — 删除仓库。
wrangler artifacts repos issue-token — 签发用于 Git 访问的仓库范围令牌。

要开始使用，请参阅 Wrangler Artifacts 命令文档。

Cloudflare WAN, Magic Transit - Unified Routing 支持 Network Analytics

Mon, 18 May 2026 00:00:00 GMT

使用 Unified Routing 模式的账户现在已完全支持 Network Analytics。通过 Unified Routing onramp 和 offramp 的流量现在可以在 Network Analytics 中可见，其维度和过滤器与标准数据平面上的流量相同。

这弥补了已将隧道迁移到 Unified Routing 但在 Network Analytics 仪表板中失去对其数据平面流量可视性的客户的功能差距。无需更改配置——所有启用了 Unified Routing 的账户都会自动收集分析数据。

有关其余的 Beta 限制，请参阅流量引导 Beta 限制。

Workers - 在 Wrangler 和 Vite 中通过 Cloudflare Tunnel 共享本地开发服务器

Mon, 18 May 2026 00:00:00 GMT

现在，当使用 Wrangler 或 Cloudflare Vite 插件时，您可以通过 Cloudflare Tunnel 共享本地开发会话并获得一个公共 URL。当您需要共享预览、测试 Webhook 或从其他设备访问您的应用程序时，这非常有用。

这使您可以：

使用随机的 *.trycloudflare.com 主机名启动一个临时的快捷隧道（Quick tunnel），或者
使用现有的命名隧道（named tunnel）以获得稳定的主机名，并使用 Cloudflare Access 限制访问。

要启动隧道，请在开发服务器运行时在 Wrangler 中按 t 或在 Vite 中按 t + Enter。有关设置命名隧道的详细信息，请参阅共享本地开发服务器。

Hyperdrive, Workers - Hyperdrive 开放数据库连接池大小指标

Fri, 15 May 2026 00:00:00 GMT

您现在可以查看 Hyperdrive 数据库连接池的大小，从而使您能够自诊断连接问题。使用 Cloudflare 仪表板或 GraphQL Analytics API 中的 hyperdrivePoolSizesAdaptiveGroups 数据集，您可以查看每个配置的 waitingClients、currentPoolSize、availablePoolSlots 和 maxPoolSize。

Cloudflare 仪表板 ↗中每个 Hyperdrive 配置的 **Metrics（指标）**选项卡中添加了一个新的 **Pool connections（连接池连接）**图表。您可以使用位置选择器，按机场代码钻取托管连接池的特定位置。

该图表显示：

Waiting clients（等待中的客户端）：等待可用连接的客户端请求。
Open connections（打开的连接）：到您数据库的活动连接。
Pool size maximum（最大连接池大小）：您配置的源站连接限制。

连接争用表现为等待中的客户端激增，或者当打开的连接持续接近最大连接池大小时。如果您的打开连接经常接近此限制，请考虑联系 Cloudflare 以提高您的 Hyperdrive 连接限制。

连接池大小指标

GraphQL Analytics API 中的 hyperdrivePoolSizesAdaptiveGroups 数据集为每个 Hyperdrive 配置公开了以下关键连接池指标：

在 avg 下：

currentPoolSize — 当前在池中打开的平均连接数。
availablePoolSlots — 可供检出的平均连接池连接数。
waitingClients — 等待池中连接的平均客户端数。

在 max 下：

maxPoolSize — 配置的连接池最大大小。
currentPoolSize — 池中打开的峰值连接数。
waitingClients — 等待池中连接的峰值客户端数。

有关更多信息，请参阅 Metrics and analytics 和 Connection pooling。

R2 SQL - R2 SQL 现在支持 JOIN、子查询和多表查询

Fri, 15 May 2026 00:00:00 GMT

R2 SQL 是 Cloudflare 的无服务器分布式 SQL 引擎，用于查询存储在 R2 Data Catalog 中的 Apache Iceberg ↗ 表。R2 SQL 直接在 Cloudflare 的全球网络上运行，无需管理任何基础设施，因此您可以分析 R2 中的数据，而无需将其导出到外部仓库。

R2 SQL 现在支持在单个查询中连接多个 Iceberg 表。您可以使用 JOIN 组合表，使用子查询进行过滤，并定义多表 CTE 以构建复杂的分析查询。

新功能

JOIN — INNER JOIN、LEFT JOIN、RIGHT JOIN、FULL OUTER JOIN、CROSS JOIN 以及隐式连接（FROM 中以逗号分隔，且条件在 WHERE 中）
子查询 — IN / NOT IN、EXISTS / NOT EXISTS、SELECT / WHERE / HAVING 中的标量子查询，以及派生表（FROM 中的子查询）
多表 CTE — WITH 子句可以引用不同的表并包含 JOIN
自连接 — 使用不同的别名将表与自身连接
多路连接 — 在单个查询中连接三个或更多表

示例

带有聚合的双表 JOIN

SELECT z.domain, z.plan, COUNT(*) AS request_count
FROM my_namespace.zones z
INNER JOIN my_namespace.http_requests h ON z.zone_id = h.zone_id
WHERE z.plan = 'enterprise'
GROUP BY z.domain, z.plan
ORDER BY request_count DESC
LIMIT 20

`EXISTS` 子查询

SELECT z.domain, z.plan
FROM my_namespace.zones z
WHERE EXISTS (
    SELECT 1 FROM my_namespace.firewall_events f
    WHERE f.zone_id = z.zone_id AND f.action = 'block'
)
ORDER BY z.domain
LIMIT 20

带有 JOIN 的多表 CTE

WITH top_zones AS (
    SELECT zone_id, COUNT(*) AS req_count
    FROM my_namespace.http_requests
    GROUP BY zone_id
    ORDER BY req_count DESC
    LIMIT 50
),
zone_threats AS (
    SELECT zone_id, COUNT(*) AS threat_count
    FROM my_namespace.firewall_events
    WHERE risk_score > 0.5
    GROUP BY zone_id
)
SELECT tz.zone_id, tz.req_count, COALESCE(zt.threat_count, 0) AS threat_count
FROM top_zones tz
LEFT JOIN zone_threats zt ON tz.zone_id = zt.zone_id
ORDER BY tz.req_count DESC
LIMIT 20

有关完整语法参考，请参阅 SQL 参考。有关连接性能指南，请参阅限制与最佳实践。

WAF - WAF 发布 - 2026-05-15 - 紧急

Fri, 15 May 2026 00:00:00 GMT

此紧急发布引入了两条新规则，以检测针对 rewrite 模块的 is_args 陈旧状态漏洞（CVE-2026-42945）的 nginx 堆缓冲区溢出和堆喷射利用尝试。

主要发现

CVE-2026-42945: nginx 中通过 Rewrite 模块中陈旧的 is_args 导致的堆缓冲区溢出

成功利用该漏洞允许远程攻击者通过发送包含可转义字符的精心设计的 URI，触发 nginx 的 rewrite 模块中的堆缓冲区溢出。ngx_http_script_copy_capture_code() 中的长度/复制阶段不匹配导致复制阶段将转义数据写入过小的缓冲区，从而导致堆损坏。这会导致拒绝服务（工作进程崩溃），并结合堆风水技术，可能实现远程代码执行。

我们强烈建议立即升级到 nginx 1.30.1（或更高版本），以解决底层漏洞。如果无法立即升级，请避免在替换字符串中带有 ? 的 rewrite 指令，后跟引用捕获组的 set 或 if。

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	nginx - Remote Code Execution - Buffer Overread - CVE:CVE-2026-42945	无	阻断	这是新的检测。
Cloudflare 托管规则集		无	nginx - Remote Code Execution - Heap Spray - CVE:CVE-2026-42945	无	阻断	这是新的检测。

Workers - Workers 仪表板中新增的域名（Domains）选项卡

Thu, 14 May 2026 00:00:00 GMT

在您的 Worker 仪表板中，现在有一个专用的 Domains（域名） 选项卡，您可以在其中通过 Cloudflare Registrar 购买新域名并使其自动连接，添加现有域名，并在一个地方管理所有 Worker 的路由。

您还可以启用或禁用您的 workers.dev 子域名和预览 URL (Preview URLs)，将它们置于 Cloudflare Access 保护之下以要求登录，并直接跳转到任何已连接域名的分析或域名概览。

要开始使用，请转到 Workers & Pages，选择一个 Worker，然后打开 Domains（域名） 选项卡。

Go to Workers & Pages ↗

Agents, Workers - Agents SDK v0.12.4：对话恢复、路由重试、持久化 Think 提交及 Voice 连接控制

Wed, 13 May 2026 00:00:00 GMT

Agents SDK ↗ 的最新版本带来了更可靠的对话恢复、修复了重连时的 Agent 状态同步、添加了 Think 的持久化提交、暴露了路由重试配置，并为 Voice agents 添加了连接控制。

对话恢复改进

@cloudflare/ai-chat 现在在浏览器或客户端流中断时保持服务端 turn 继续运行。这对于长时间运行的 AI 响应场景非常有用，例如用户刷新页面、关闭标签页或临时断线。调用 stop() 仍会取消服务端 turn。

如果浏览器或客户端中止也应取消服务端 turn，请设置 cancelOnClientAbort: true：

const chat = useAgentChat({
	agent: "assistant",
	name: "user-123",
	cancelOnClientAbort: true,
});

const chat = useAgentChat({
	agent: "assistant",
	name: "user-123",
	cancelOnClientAbort: true,
});

主要 bug 修复：

对话流恢复协商不再在 replay 与关闭的 WebSocket 连接竞争时抛出异常。
恢复的对话续传不再在原始 socket 在终端响应前断开时，导致 useAgentChat 卡在流式传输状态。
审批自动续传保留推理部分，并在最终消息中持久化续传推理。
当恢复的流从备用观察路径切换到传输拥有的流时，isServerStreaming 现在能正确重置。

Agent 状态和路由修复

agents@0.12.4 防止在 WebSocket 连接设置期间出现重复的初始状态帧。这避免了过时的初始状态消息覆盖客户端已发送的状态更新。

当工具调用跨越 Durable Object 重启时，Agent 恢复也更加可靠。恢复现在会将用户完成钩子推迟到 agent 启动后，并隔离钩子失败，因此一个失败的钩子不会阻止其他恢复的运行完成。

getAgentByName() 现在支持 routingRetry，用于处理瞬态 Durable Object 路由失败：

import { getAgentByName } from "agents";

const agent = await getAgentByName(env.AssistantAgent, "user-123", {
	routingRetry: {
		maxAttempts: 3,
	},
});

import { getAgentByName } from "agents";

const agent = await getAgentByName(env.AssistantAgent, "user-123", {
	routingRetry: {
		maxAttempts: 3,
	},
});

持久化 Think 提交

@cloudflare/think 现在支持持久化的程序化提交。submitMessages() 提供持久化接受、幂等重试、状态检查、取消和清理功能，适用于应在调用方返回后继续运行的服务器驱动 turn。

Think.chat() RPC turn 现在在对话恢复 fiber 内运行并持久化其流式数据块。中断的子 agent turn 可以恢复部分输出，而不必从头开始。

ChatOptions.tools 已从 TypeScript API 中移除。请在子 agent 上定义持久化工具，或使用 agent 工具进行编排。遗留调用者传入的运行时 options.tools 值将被忽略并产生警告。

Think 消息裁剪行为变更

@cloudflare/think 默认不再对模型上下文应用 pruneMessages({ toolCalls: "before-last-2-messages" })。以前的默认行为可能会从较长的多轮流程中剥离客户端工具结果。

truncateOlderMessages 仍照常运行，因此上下文成本保持有界。依赖旧的激进裁剪行为的子类可以从 beforeTurn 重新启用：

import { Think } from "@cloudflare/think";
import { pruneMessages } from "ai";

export class MyAgent extends Think {
	beforeTurn(ctx) {
		return {
			messages: pruneMessages({
				messages: ctx.messages,
				toolCalls: "before-last-2-messages",
			}),
		};
	}
}

import { Think } from "@cloudflare/think";
import { pruneMessages } from "ai";

export class MyAgent extends Think<Env> {
	beforeTurn(ctx) {
		return {
			messages: pruneMessages({
				messages: ctx.messages,
				toolCalls: "before-last-2-messages",
			}),
		};
	}
}

Voice agent 连接控制

@cloudflare/voice 为 useVoiceAgent 添加了 enabled 选项。React 应用现在可以延迟创建和连接 VoiceClient，直到所需条件（如能力令牌）就绪。

const voice = useVoiceAgent({
	agent: "MyVoiceAgent",
	enabled: Boolean(token),
});

const voice = useVoiceAgent({
	agent: "MyVoiceAgent",
	enabled: Boolean(token),
});

此版本还修复了 Workers AI 语音转文字会话的边界情况，以及 AI SDK textStream 响应中 withVoice 文本流的问题。

其他改进

Streamable HTTP 路由 — 当没有独立 SSE 流可用时，服务器到客户端的请求现在通过原始 POST 流路由。
结构化工具输出 — 裁剪旧消息或超大持久化行时会保留工具输出的形状。
非对话 Think 工具步骤 — Think agent 工具子项可在不发出助手文本的情况下完成，并可通过 getAgentToolOutput 返回结构化输出。
子 agent 调度 — 当拥有 facet 注册条目不再存在时，过时的子 agent 调度行会被清理。
@cloudflare/codemode — 添加了带有 iframe sandbox 执行器的浏览器安全导出，并在 sandbox 内解析 OpenAPI 规范以避免 Worker Loader RPC 大小限制。

升级

升级到最新版本：

npm i agents@latest @cloudflare/ai-chat@latest @cloudflare/think@latest @cloudflare/voice@latest

更多信息请参阅 Agents API 参考和对话 agents 文档。

Logs - Cloudflare Logs 中的新 Logpush 数据集及多个数据集字段更新

Wed, 13 May 2026 00:00:00 GMT

Cloudflare 已更新 Logpush 数据集：

新数据集

Email Security Post-Delivery Events：新数据集，字段包括 AlertID、CompletedAt、Destination、FinalDisposition、Folder、From、FromName、MessageID、MessageTimestamp、MicrosoftTenantID、Operation、PostfixID、Reasons、Recipient、RequestedAt、RequestedBy、RequestedDisposition、Status、Subject、Success 和 To。
Magic Network Monitoring Flow Logs：新数据集，字段包括 AWSVPCFlowJSON、Bits、DestinationAS、DestinationAddress、DestinationPort、DeviceID、EgressBits、EgressPackets、Ethertype、FlowProtocol、FlowTimestamp、NumFlows、PacketID、Packets、Protocol、RuleIDs、SampleRate、SampleRateType、SamplerAddress、SourceAS、SourceAddress、SourcePort、TcpFlags 和 Timestamp。

现有数据集的字段更新

Firewall events（新增）：AISecurityInjectionScore、AISecurityPIICategories、AISecurityTokenCount 和 AISecurityUnsafeTopicCategories。
HTTP requests（新增）：AISecurityInjectionScore、AISecurityPIICategories、AISecurityTokenCount、AISecurityUnsafeTopicCategories 和 Subrequests。

有关每个数据集的完整字段定义，请参阅 Logpush 数据集。

Cloudflare Web Analytics - /cdn-cgi/rum 端点现在对非 POST 请求返回 405

Wed, 13 May 2026 00:00:00 GMT

/cdn-cgi/rum 信标（beacon）端点现在对非 POST 请求返回 405 Method Not Allowed，而不是 404 Not Found。根据 RFC 9110 §15.5.6 ↗，响应中包含 Allow: POST, OPTIONS 标头。

以前，向此端点发送 GET 或其他非 POST 请求会返回 404，这具有误导性，因为它表明该端点不存在。新的 405 响应明确指出该端点存在，但仅接受 POST 请求。

Web Analytics 信标（beacon.min.js）已经对所有指标提交使用 POST，因此此更改不会影响信标的正常运行。针对 CORS 预检的 OPTIONS 请求继续照常工作。

欲了解更多信息，请参阅 Web Analytics FAQ。

Cloudflare One, Access - Access 登录页面更新

Tue, 12 May 2026 00:00:00 GMT

Access 登录页面和一次性密码 (OTP) 页面现在采用全新设计，提高了视觉一致性、用户信任度和移动端自适应性。

更新前：

更新后：

更新后的登录体验包括：

统一的身份验证卡 - 所有登录选项（身份提供商按钮、电子邮件输入、OTP）现在都显示在具有一致样式的单个卡片中，取代了先前的多部分布局。
一致的按钮样式 - 身份提供商按钮使用统一的大小和布局，以便于快速浏览和选择。
更好的移动端体验 - 自适应布局的改进确保登录页面在手机和平板电脑上正确渲染。
支持深色模式 - 登录页面现在支持深色模式。

Cloudflare WAN, Magic Transit, Cloudflare One - 新账户分配单个 IPv4 Anycast 地址

Tue, 12 May 2026 00:00:00 GMT

默认情况下，现在为新的 Magic Transit 和 Cloudflare WAN 账户分配单个 IPv4 Anycast 地址。

Cloudflare 会通过从全球许多分布式数据中心内的多个节点广播您的端点 IP，从而自动处理其网络上的故障。要处理您网络上的故障，请从不同的路由器配置两个隧道。

如需为您的账户申请额外的 Anycast IP 地址，请联系您的账户团队。

有关隧道配置指南，请参阅 Cloudflare WAN 的配置隧道端点或 Magic Transit 的配置隧道端点。

Containers - 通过 Wrangler 进行 SSH 连接现已为容器默认启用

Tue, 12 May 2026 00:00:00 GMT

通过 Wrangler 进行 SSH 连接现已为容器默认启用。此前，您必须在容器配置中将 ssh.enabled 设置为 true 才能连接。

此更改不会在您的容器上暴露任何公开可访问的端口。SSH 服务仅可通过 wrangler containers ssh 访问，该命令会对您的 Cloudflare 账户进行身份验证。您还需要在 authorized_keys 中添加 ssh-ed25519 公钥才能连接，因此仅启用 SSH 并不能授予访问权限。

要连接，请在容器配置中添加公钥并运行 wrangler containers ssh <INSTANCE_ID>：

{
	"containers": [
		{
			"authorized_keys": [
				{
					"name": "<NAME>",
					"public_key": "<YOUR_PUBLIC_KEY_HERE>",
				},
			],
		},
	],
}

[[containers]]
[[containers.authorized_keys]]
name = "<NAME>"
public_key = "<YOUR_PUBLIC_KEY_HERE>"

要禁用 SSH，请在容器配置中将 ssh.enabled 设置为 false：

{
	"containers": [
		{
			"ssh": {
				"enabled": false,
			},
		},
	],
}

[[containers]]
[containers.ssh]
enabled = false

如需更多信息，请参阅 SSH 文档。

Gateway - 使用自然语言创建 Gateway 防火墙策略

Tue, 12 May 2026 00:00:00 GMT

Cloudflare Gateway 现在支持针对 DNS、HTTP 和网络防火墙策略使用自然语言创建策略。管理员可以用纯文本描述他们想要的结果，Cloudflare 将生成一个完整的策略规则来填充策略生成器表单。

要使用自然语言创建策略，请在任何 Gateway 防火墙策略选项卡上选择 Create with AI（使用 AI 创建）。选择策略类型，描述该策略应执行的操作，随后一个完整配置的规则将显示在策略生成器中以供审查。您可以在保存之前编辑任何字段，或使用不同的提示词重新生成。

生成的策略结合了您的账户上下文（包括列表、DLP 配置文件、应用和设备状态检查），从而自动解析对现有资源的引用。

内置的反馈机制允许您对每个生成的策略进行评分并提供可选评论，Cloudflare 会使用这些评论来不断改进输出质量。

有关更多信息，请参阅 Gateway 防火墙策略。

R2 - R2 Data Catalog 现在通过 GraphQL Analytics API 公开指标

Tue, 12 May 2026 00:00:00 GMT

R2 Data Catalog 是直接内置于 R2 存储桶的托管 Apache Iceberg 数据目录，允许您将 R2 SQL、Spark、Snowflake 和 DuckDB 等查询引擎连接到 R2 中的数据。

您现在可以通过 Cloudflare 的 GraphQL Analytics API 查询 R2 Data Catalog 仓库的分析数据。两个新数据集现已可用：

r2CatalogDataOperationsAdaptiveGroups 跟踪向目录发出的 Iceberg REST API 请求，包括操作类型、请求时长、HTTP 状态和请求体字节数。使用此数据集可监控跨仓库、命名空间和表的请求量和延迟。
r2CatalogTableMaintenanceAdaptiveGroups 跟踪表维护作业，例如压缩和快照过期。使用此数据集可监控作业成功率、处理的文件数、读写字节数和作业时长。

两个数据集均支持按仓库名称、命名空间、表名称和时间范围过滤。它们还包括时长指标的百分位聚合。

有关详细的 Schema 信息和示例查询，请参阅 R2 Data Catalog 指标和分析文档。

Security Center - Agent Readiness 分数现在可通过 Cloudflare 仪表板在 URL Scanner 中查看

Tue, 12 May 2026 00:00:00 GMT

我们在可通过 Cloudflare 仪表板访问的 URL Scanner 报告中添加了一个新的 Agent Readiness（Agent 就绪） 标签页。此功能根据新兴的 AI 标准评估您的网站，并提供六个专业评分，以帮助您针对下一代 AI 代理和自动发现进行优化。

互联网正在从人类阅读的网络向机器阅读的网络转变。AI 代理现在可以浏览网站、与之交互甚至在网站上执行交易。如果一个网站没有达到“代理准备就绪（agent-ready）”状态，这些机器人可能会消耗过多的带宽、无法找到关键信息，或者无法高效地导航您的服务。

此更新通过将准备就绪程度分解为六个可操作的类别，提供了实质性的价值：

Basic Web Presence（基本 Web 存在）
Discoverability（可发现性）
Content Accessibility（内容可访问性）
Bot Access Control（Bot 访问控制）
Protocol Discovery（协议发现）
Commerce（商业）

访问报告

您可以直接在仪表板中或通过我们的 API 查看任何已扫描 URL 的这些分数。

仪表板：前往 Protect & Connect（保护与连接） > Application Security（应用安全） > Investigate（调查）。运行扫描后，在报告中选择 Agent Readiness（Agent 就绪） 标签页。
API：使用 URL Scanner API 以编程方式检索您基础设施的这些分数。

欲了解这些分数背后方法的更多信息，请参阅博客文章 ↗。

Cloudflare One Client - Cloudflare One Client for Windows (version 2026.4.1350.0)

Mon, 11 May 2026 17:35:58 GMT

A new GA release for the Windows Cloudflare One Client is now available on the stable releases downloads page.

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.

Known issues

Registration authentication for devices via the integrated WebView2 browser is unavailable in this version as a temporary measure. As a result, the client will utilize the default browser on the device to complete the authentication process.
An error indicating that Microsoft Edge can't read and write to its data directory may be displayed during captive portal login; this error is benign and can be dismissed.
Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of Split Tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.
Windows ARM may prompt the user to close running applications while trying to install this version. Simply click “Ok” with the default highlighted option.
DNS resolution may be broken when the following conditions are all true:
- The client is in Secure Web Gateway without DNS filtering (tunnel-only) mode.
- A custom DNS server address is configured on the primary network adapter.
- The custom DNS server address on the primary network adapter is changed while the client is connected.
  To work around this issue, please reconnect the client by selecting "disconnect" and then "connect" in the client user interface.

Cloudflare One Client - Cloudflare One Client for macOS (version 2026.4.1350.0)

Mon, 11 May 2026 17:35:57 GMT

A new GA release for the macOS Cloudflare One Client is now available on the stable releases downloads page.

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Additional Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of split tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.

Cloudflare One Client - Cloudflare One Client for Linux (version 2026.4.1350.0)

Mon, 11 May 2026 15:17:54 GMT

A new GA release for the Linux Cloudflare One Client is now available on the stable releases downloads page.

Right click context menu to access the most common client actions quickly
Built-in captive portal login experience

Changes and improvements

Added a new CLI command: warp-cli mdm refresh. This command executes an immediate refresh of the Mobile Device Management (MDM) configuration file.
Official support for RHEL 9 has been added for Cloudflare Mesh nodes. To install the RHEL 9 package, the Extra Packages for Enterprise Linux (EPEL) repository must be active, as it contains dependencies required for the tray icon and captive portal webview.

Known issues

Registration may hang at "Checking your organization configuration" due to IPC errors. A system reboot should resolve the error, allowing registration to proceed.
Split tunnel list configuration is not available in the new UI. Management of split tunnel entries is currently only possible via warp-cli tunnel ip and warp-cli tunnel host. UI support will be added in a future release.

Cloudflare WAN, Magic Transit - UDP 端口 500 上的 IKE 支持 NAT-T

Mon, 11 May 2026 00:00:00 GMT

Cloudflare IPsec 现在支持标准 NAT 穿透（NAT-T，NAT traversal）流程，其中 IKE 在 UDP 端口 500 上启动，并在检测到 NAT 后切换到 UDP 端口 4500。

以前，必须将 NAT 后面的设备配置为直接在 UDP 端口 4500 上发起 IKE。当路径中存在 NAT 时，在 UDP 端口 500 上启动的设备无法完成 IKE 握手。这需要在 VeloCloud SD-WAN 边缘、Cisco IOS-XE 路由器和 Juniper SRX 防火墙等设备上进行自定义配置，而且并非在所有平台上都可行。

已发生的变化：

NAT 后面的设备现在可以在 UDP 端口 500 或 UDP 端口 4500 上发起 IKE。
在 UDP 端口 500 上启动 IKE 并在检测到 NAT 后切换到 UDP 端口 4500 的设备现在可以成功完成握手。
Cloudflare 上不需要更改配置。此更改适用于 Cloudflare WAN 和 Magic Transit 上的所有 IPsec 隧道。

此更改不影响现有隧道：

未检测到 NAT 且使用 UDP 端口 500 的隧道继续像以前一样运行。
配置为在 UDP 端口 4500 上启动 IKE 的隧道继续像以前一样运行。
NAT 检测逻辑未发生变化。

有关配置详细信息，请参阅GRE 和 IPsec 隧道。

WAF - WAF 发布 - 2026-05-11

Mon, 11 May 2026 00:00:00 GMT

主要发现

已部署现有规则增强功能，以提高针对广泛 Web 攻击的检测弹性，并加强行为覆盖范围。

持续规则改进

规则集	规则 ID	旧版规则 ID	描述	先前操作	新操作	注释
Cloudflare 托管规则集		无	Remote Code Execution - Java Deserialization - Body - Beta	阻断	已禁用	这是新的检测。此规则已合并到原始规则 "Remote Code Execution - Java Deserialization"（ID：）中。

Workers AI - Workers AI 上计划的模型弃用

Fri, 08 May 2026 00:00:00 GMT

我们正在更新 Workers AI 模型目录，以为新发布的版本让出空间。请在弃用日期之前更新您的应用程序，以移除对下列模型的引用。

Kimi K2.5

我们最初表示 Kimi K2.5 将于 2026 年 5 月 10 日弃用，但我们已将弃用日期延长至 2026 年 5 月 30 日。请求将于 2026 年 5 月 30 日自动别名（aliased）到价格更高的 Kimi K2.6。请在 2026 年 5 月 30 日之前查看 @cf/moonshotai/kimi-k2.6 的定价和模型能力，以确保该模型满足您的需求。

于 2026 年 5 月 30 日弃用的模型

@cf/moonshotai/kimi-k2.5 --> @cf/moonshotai/kimi-k2.6
@hf/meta-llama/meta-llama-3-8b-instruct
@cf/meta/llama-3-8b-instruct
@cf/meta/llama-3-8b-instruct-awq
@cf/meta/llama-3.1-8b-instruct
@cf/meta/llama-3.1-8b-instruct-awq
@cf/meta/llama-3.1-70b-instruct
@cf/meta/llama-2-7b-chat-int8
@cf/meta/llama-2-7b-chat-fp16
@cf/mistral/mistral-7b-instruct-v0.1
@hf/mistral/mistral-7b-instruct-v0.2
@hf/google/gemma-7b-it
@cf/google/gemma-3-12b-it
@hf/nousresearch/hermes-2-pro-mistral-7b
@cf/microsoft/phi-2
@cf/defog/sqlcoder-7b-2
@cf/unum/uform-gen2-qwen-500m
@cf/facebook/bart-large-cnn

保持活跃的变体

模型的 -fast 和 -lora 变体将保持活跃，包括：

@cf/meta/llama-3.3-70b-instruct-fp8-fast
@cf/meta/llama-3.1-8b-instruct-fast
@cf/google/gemma-7b-it-lora
@cf/google/gemma-2b-it-lora
@cf/mistral/mistral-7b-instruct-v0.2-lora
@cf/meta-llama/llama-2-7b-chat-hf-lora

LoRA 模型在未来可能会被弃用。我们将向目录中添加更多 LoRA 功能，并会在新的 LoRA 模型上线时进行沟通，以便在弃用旧模型之前给用户留出训练新 LoRA 的时间。

如需获取可用模型的完整列表，请参阅 Workers AI 模型目录。