API 令牌模板 URL

使用模板 URL 生成具有预配置权限的 Cloudflare API 令牌。模板 URL 允许您与用户共享令牌要求，而无需在仪表板中手动选择权限。

模板 URL 使用查询参数预填 Cloudflare 仪表板中的 API 令牌创建页面。当用户打开模板 URL 时，仪表板会自动配置指定的权限和设置。

Cloudflare 同时支持用户 API 令牌和账户 API 令牌的模板 URL。有关这两种令牌类型之间差异的更多信息，请参阅 账户 API 令牌。

用户令牌模板 URL 会在用户配置文件级别（/profile/api-tokens）打开令牌创建表单。以此方式创建的令牌归用户所有。

基本模板 URL 结构为：

https://dash.cloudflare.com/profile/api-tokens?permissionGroupKeys=[ENCODED_PERMISSIONS]&accountId=*&zoneId=all&name=[TOKEN_NAME]

账户令牌模板 URL 会在账户级别打开令牌创建表单。以此方式创建的令牌归账户所有（服务主体令牌），不与任何个人用户绑定。创建账户令牌需要超级管理员或管理员权限。

基本模板 URL 结构为：

https://dash.cloudflare.com/?to=/:account/api-tokens&permissionGroupKeys=[ENCODED_PERMISSIONS]&name=[TOKEN_NAME]

:account 段是占位符。当用户打开 URL 时，如果其有权访问多个账户，仪表板会提示其选择账户。

用户令牌和账户令牌模板 URL 使用相同的权限编码。权限编码为具有以下结构的 JSON 数组：

[{ "key": "permission_name", "type": "read|edit|revoke|run|purge" }]

列出您的使用场景所需的权限。请参阅权限参考表。

将权限格式化为 JSON 数组：

[
	{ "key": "dns", "type": "edit" },
	{ "key": "analytics", "type": "read" }
]

使用 URL 编码器转换 JSON 字符串：

%5B%7B%22key%22%3A%22dns%22%2C%22type%22%3A%22edit%22%7D%2C%7B%22key%22%3A%22analytics%22%2C%22type%22%3A%22read%22%7D%5D

对于用户令牌，将所有组件组合成最终模板 URL：

https://dash.cloudflare.com/profile/api-tokens?permissionGroupKeys=[ENCODED_JSON]&accountId=*&zoneId=all&name=Custom%20Token

对于账户令牌，请改用账户级别路径：

https://dash.cloudflare.com/?to=/:account/api-tokens&permissionGroupKeys=[ENCODED_JSON]&name=Custom%20Token

使用此表查找自定义模板所需的权限键。

以下模板 URL 可用于常见场景。每个示例都提供用户令牌 URL 和账户令牌 URL。

创建用于 DNS 记录管理的令牌。

创建用于 Workers、KV 存储及相关服务的令牌。

创建用于访问分析和日志的令牌。

创建用于 Cloudflare Zero Trust 管理的令牌。

创建和共享模板 URL 时，请遵循以下准则。

• 最小权限原则：仅请求使用场景所需的最小权限。这可以在令牌泄露时降低安全风险。
• 使用描述性令牌名称：在模板 URL 中包含清晰、描述性的名称，帮助用户理解令牌的用途。
• 记录令牌用法：提供清晰的文档，说明每个令牌的用途以及不再需要时如何撤销。
• 定期轮换令牌：鼓励用户定期轮换令牌并审查权限。
• 共享前先测试：在与用户共享之前，始终在预发布环境中测试模板 URL。

查看常见问题及解决方案列表。

此外，在共享模板 URL 之前，请查看以下清单。

• 所有权限键均正确
• JSON 语法有效
• URL 编码正确
• 令牌名称具有描述性
• 权限遵循最小权限原则

• API 令牌权限
• 创建 API 令牌
• 账户 API 令牌
• API 身份验证