Cloudflare Api Token从哪里得到， 给我图文

Key Takeaways

• 安全性差异：API Token 遵循最小权限原则 (PoLP)，而 Global API Key 拥有账户所有权限，具有极高的安全风险。
• 获取路径：登录 Cloudflare 控制台 $\rightarrow$ 点击用户图标 $\rightarrow$ My Profile $\rightarrow$ API Tokens $\rightarrow$ Create Token。
• 权限配置：必须严格根据用途配置权限（如仅 DNS 编辑、仅 Zone 读取），严禁授予不必要的 Admin 权限。
• 单次可见性：API Token 在创建成功后仅显示一次，必须立即将其存入安全的密钥管理系统（如 HashiCorp Vault 或 GitHub Secrets）。
• 安全加固：强烈建议配置 IP Access Rules，限制 API 请求仅能从特定的服务器 IP 发起。

Introduction

在现代 DevOps 和自动化运维流程中，API（应用程序编程接口）是连接不同工具链的纽带。对于使用 Cloudflare 作为 DNS、CDN 或安全防护层的开发者而言，如何安全、高效地调用 Cloudflare 的能力是至关重要的。无论是通过 Terraform 进行基础设施即代码 (IaC) 管理，还是使用 GitHub Actions 实现自动化的 DNS 更新（如 DDNS），亦或是编写自定义的监控脚本，Cloudflare API Token 都是实现这些功能的核心凭证。

然而，许多初学者在获取凭证时，往往会混淆 "API Token" 与 "Global API Key"。这种混淆不仅会导致权限管理混乱，更可能在凭证泄露时造成灾难性的后果——例如，攻击者一旦获取了 Global API Key，将能够接管你账户下的所有域名、修改所有 DNS 记录，甚至更改你的账户结算信息。本文将提供一份专家级的指南，不仅教你“如何得到”Token，更会教你“如何正确地使用”它。

Deep Analysis: 获取 Cloudflare API Token 的全流程与深度逻辑

1. 核心概念：API Token vs. Global API Key

在深入操作步骤之前，必须理解 Cloudflare 提供的两种身份验证方式的本质区别。从安全工程的角度来看，这两者的风险权重完全不同。

2. 图文步骤详解：获取 API Token

由于无法直接在文本中嵌入实时动态图像，我们将通过结构化的逻辑步骤来模拟“图文”体验，请务必对照您的浏览器界面进行操作。

步骤一：定位 API 管理入口

1. 首先，访问 Cloudflare Dashboard 并登录您的账户。
2. 在页面右上角，找到您的用户头像图标（通常是一个圆形图标，点击后会弹出下拉菜单）。
3. 在下拉菜单中，点击 "My Profile" (我的个人资料)。
4. 进入个人资料页面后，在左侧或顶部的导航栏中，找到并点击 "API Tokens" 选项卡。

步骤二：创建自定义 Token

进入 API Tokens 页面后，你会看到现有的 Token 列表。点击蓝色的 "Create Token" 按钮。

Cloudflare 提供了几种预设模板（Templates），这对于新手非常友好：

• Edit zone DNS：最常用的模板，允许通过 API 修改特定域名的 DNS 记录。
• Read all resources：仅允许读取信息，不允许任何修改操作，适用于监控类工具。

专家建议： 为了达到最高的安全性，请点击页面底部的 "Create Custom Token"，手动配置权限。

步骤三：精确配置权限 (Permissions) 与 资源 (Resources)

这是最关键的一步。在自定义 Token 页面，你需要配置两个维度：

1. Permissions (权限)：
   • 选择 Zone $\rightarrow$ DNS $\rightarrow$ Edit (如果你需要更新 IP)。
   • 选择 Zone $\rightarrow$ Zone $\rightarrow$ Read (如果你需要获取 Zone ID)。
2. Zone Resources (资源范围)：
   • 不要选择 "All zones"，除非你确实需要管理账户下的所有域名。
   • 选择 "Specific zone" $\rightarrow$ "选择你的域名"。这样即使 Token 泄露，攻击者也无法触及你账户里的其他域名。

步骤四：设置客户端限制 (Client IP Address Filtering)

在配置页面的下方，有一个 "Client IP Address Filtering" 选项。这是一个强大的安全功能。你可以输入你运行脚本的服务器 IP 地址（例如你的 VPS IP）。这样，即使有人偷走了你的 Token，如果他们尝试从其他 IP 地址调用 API，Cloudflare 也会直接拒绝请求。

步骤五：保存与记录

点击底部的 "Continue to summary"，确认配置无误后点击 "Create Token"。注意： 屏幕上会弹出一个包含长字符串的窗口，这就是你的 API Token。请立即复制并保存到安全的地方。 一旦你关闭此窗口，你将永远无法再次查看该 Token 的明文内容。如果你丢失了它，你只能删除旧的并重新创建一个。

3. 技术验证：如何测试你的 Token 是否有效

获取 Token 后，不建议立即将其投入生产环境。你应该先通过命令行进行一次简单的验证。以下是一个使用 `curl` 调用 Cloudflare API 验证 Token 权限的标准方法。

# 使用 Bearer Token 验证身份
curl -X GET "https://api.cloudflare.com/client/v4/user/tokens/verify" \
     -H "Authorization: Bearer YOUR_API_TOKEN_HERE" \
     -H "Content-Type: application/json"

如果返回结果中的 status 为 active，说明你的 Token 配置正确且已生效。

Common Mistakes / Misconceptions

Expert Tips