在 Cloudflare Workers 上运行 OpenClaw

在 Cloudflare Sandbox 中运行 OpenClaw（前身为 Moltbot，前身为 Clawdbot）个人 AI 助手。

实验性： 这是一个概念验证，演示 OpenClaw 可以在 Cloudflare Sandbox 中运行。这不是官方支持的方案，可能会在没有通知的情况下失效。请自行承担使用风险。

要求

• Workers 付费计划（每月 5 美元）—— 运行 Cloudflare Sandbox 容器所需。运行容器会产生额外的计算费用，详见下方的容器成本估算。
• Anthropic API 密钥 —— 用于访问 Claude，或者可以使用 AI Gateway 的统一计费

本项目使用的以下 Cloudflare 功能有免费层级：

• Cloudflare Access（身份验证）
• Browser Rendering（浏览器导航）
• AI Gateway（可选，用于 API 路由/分析）
• R2 Storage（可选，用于持久化存储）

容器成本估算

本项目使用 standard-1 Cloudflare Container 实例（1/2 vCPU、4 GiB 内存、8 GB 磁盘）。以下是假设容器 24/7 运行的每月大致费用，基于 Cloudflare Containers 定价：

资源	配置规格	每月使用量	免费包含额度	超额用量	大致费用
内存	4 GiB	2,920 GiB-小时	25 GiB-小时	2,895 GiB-小时	~$26/月
CPU（约 10% 利用率）	1/2 vCPU	~2,190 vCPU-分钟	375 vCPU-分钟	~1,815 vCPU-分钟	~$2/月
磁盘	8 GB	5,840 GB-小时	200 GB-小时	5,640 GB-小时	~$1.50/月
Workers 付费计划					$5/月
总计					~$34.50/月

注意：

• CPU 按实际活跃使用量计费，而非配置容量。10% 利用率估算是一个轻度使用个人助手的粗略基准；您的实际费用会因使用量而异。
• 内存和磁盘按容器运行期间的配置容量计费。
• 如需降低成本，可配置 SANDBOX_SLEEP_AFTER（例如 10m），使容器在空闲时进入休眠状态。每天仅运行 4 小时的容器，计算费用约为每月 5-6 美元，加上 5 美元的计划费用。
• 网络出站流量、Workers/Durable Objects 请求和日志会产生额外费用，但个人使用通常很少。
• 参见实例类型表格了解其他选项（例如 lite 256 MiB 内存/$0.50/月，或 standard-4 12 GiB 用于更重的工作负载）。

OpenClaw 是什么？

OpenClaw（前身为 Moltbot，前身为 Clawdbot）是一个具有网关架构的个人 AI 助手，可连接多个聊天平台。主要功能：

• 控制界面（Control UI） - 网关处的基于 Web 的聊天界面
• 多渠道支持 - Telegram、Discord、Slack
• 设备配对（Device pairing） - 需要明确批准的安全私信（DM）身份验证
• 持久对话（Persistent conversations） - 跨会话的聊天历史和上下文
• 代理运行时（Agent runtime） - 具有工作空间和技能的可扩展 AI 能力

本项目将 OpenClaw 打包以在 Cloudflare Sandbox 容器中运行，提供完全托管、始终在线的部署，无需自行托管。可选的 R2 存储支持在容器重启后保持持久化。

架构

快速开始

Cloudflare Sandboxes 在 Workers 付费计划 上可用。

# 安装依赖
npm install

# 设置您的 API 密钥（直接 Anthropic 访问）
npx wrangler secret put ANTHROPIC_API_KEY

# 或者使用 Cloudflare AI Gateway（参见下方的"可选：Cloudflare AI Gateway"）
# npx wrangler secret put CLOUDFLARE_AI_GATEWAY_API_KEY
# npx wrangler secret put CF_AI_GATEWAY_ACCOUNT_ID
# npx wrangler secret put CF_AI_GATEWAY_GATEWAY_ID

# 生成并设置网关令牌（远程访问所需）
# 保存此令牌 - 您需要它来访问控制界面
export MOLTBOT_GATEWAY_TOKEN=$(openssl rand -hex 32)
echo "Your gateway token: $MOLTBOT_GATEWAY_TOKEN"
echo "$MOLTBOT_GATEWAY_TOKEN" | npx wrangler secret put MOLTBOT_GATEWAY_TOKEN

# 部署
npm run deploy

部署后，使用您的令牌打开控制界面：

https://your-worker.workers.dev/?token=YOUR_GATEWAY_TOKEN

将 your-worker 替换为您的实际 worker 子域名，将 YOUR_GATEWAY_TOKEN 替换为您上面生成的令牌。

注意： 首次请求可能需要 1-2 分钟，因为容器正在启动。

重要： 在完成以下步骤之前，您将无法使用控制界面。您必须：

1. 设置 Cloudflare Access 以保护管理界面
2. 通过 /_admin/ 的管理界面配对您的设备

您可能还需要启用 R2 存储，以便您的配对设备和对话历史在容器重启后保持持久化（可选但推荐）。

设置管理界面

要使用 /_admin/ 的管理界面进行设备管理，您需要：

1. 在您的 worker 上启用 Cloudflare Access
2. 设置 Access 密钥，以便 worker 可以验证 JWT

1. 在 workers.dev 上启用 Cloudflare Access

保护 worker 的最简单方式是使用 workers.dev 内置的 Cloudflare Access 集成：

1. 前往 Workers & Pages 仪表板
2. 选择您的 Worker（例如 moltbot-sandbox）
3. 在设置中，域名和路由下，在 workers.dev 行点击更多操作菜单（...）
4. 点击启用 Cloudflare Access
5. 复制对话框中显示的值（稍后需要 AUD 标签）。注意： 对话框中的"管理 Cloudflare Access"链接可能会 404 — 请忽略。
6. 要配置谁可以访问，请前往 Cloudflare 仪表板侧边栏的 Zero Trust → Access → 应用程序，找到您 worker 的应用程序：
   • 将您的电子邮件地址添加到允许列表
   • 或配置其他身份提供商（Google、GitHub 等）
7. 从 Access 应用程序设置中复制**应用程序受众（AUD）**标签。这将是您下方第 2 步中的 CF_ACCESS_AUD

2. 设置 Access 密钥

启用 Cloudflare Access 后，设置密钥以便 worker 可以验证 JWT：

# 您的 Cloudflare Access 团队域名（例如 "myteam.cloudflareaccess.com"）
npx wrangler secret put CF_ACCESS_TEAM_DOMAIN

您在上述步骤中复制的 Access 应用程序的 Application Audience (AUD) 标签（应用程序受众标识）

npx wrangler secret put CF_ACCESS_AUD

您可以在 [Zero Trust 仪表板](https://one.dash.cloudflare.com/) 的 **Settings** > **Custom Pages** 下找到您的团队域名（即 `.cloudflareaccess.com` 之前的子域名）。

### 3. 重新部署

```bash
npm run deploy

现在访问 /_admin/，系统会提示您通过 Cloudflare Access 进行身份验证，然后才能进入管理界面。

替代方案：手动创建 Access 应用程序

如果您希望获得更多控制权，可以手动创建 Access 应用程序：

1. 前往 Cloudflare Zero Trust 仪表板
2. 导航至 Access > Applications
3. 创建一个新的 Self-hosted（自托管）应用程序
4. 将应用程序域名设置为您的 Worker URL（例如 moltbot-sandbox.your-subdomain.workers.dev）
5. 添加需要保护的路径：/_admin/*、/api/*、/debug/*
6. 配置您需要的身份提供商（例如邮件 OTP、Google、GitHub）
7. 复制 Application Audience (AUD) 标签，并按照上述方式设置密钥

本地开发

对于本地开发，请创建 .dev.vars 文件，内容如下：

DEV_MODE=true               # 跳过 Cloudflare Access 认证 + 绕过设备配对
DEBUG_ROUTES=true           # 启用 /debug/* 路由（可选）

身份验证

默认情况下，moltbot 使用设备配对（device pairing）进行身份验证。当新设备（浏览器、CLI 等）连接时，必须通过 /_admin/ 的管理界面进行批准。

设备配对

1. 设备连接到网关
2. 连接处于挂起状态，等待批准
3. 管理员通过 /_admin/ 批准该设备
4. 设备现已配对，可以自由连接

这是最安全的选项，因为每个设备都需要显式批准。

网关令牌（必需）

当远程托管时，需要网关令牌才能访问控制界面。请将其作为查询参数传递：

https://your-worker.workers.dev/?token=YOUR_TOKEN
wss://your-worker.workers.dev/ws?token=YOUR_TOKEN

注意： 即使有有效的令牌，新设备仍然需要通过 /_admin/ 的管理界面进行批准（参见上述设备配对部分）。

仅用于本地开发时，在 .dev.vars 中设置 DEV_MODE=true 以跳过 Cloudflare Access 认证，并启用 allowInsecureAuth（完全绕过设备配对）。

持久化存储（R2）

默认情况下，moltbot 的数据（配置、配对设备、对话历史）会在容器重启时丢失。要启用跨会话的持久化存储，请配置 R2：

1. 创建 R2 API 令牌

1. 在 Cloudflare 仪表板 中前往 R2 > Overview
2. 点击 Manage R2 API Tokens
3. 创建一个具有 Object Read & Write（对象读写）权限的新令牌
4. 选择 moltbot-data 存储桶（首次部署时自动创建）
5. 复制 Access Key ID 和 Secret Access Key

2. 设置密钥

# R2 Access Key ID
npx wrangler secret put R2_ACCESS_KEY_ID

# R2 Secret Access Key
npx wrangler secret put R2_SECRET_ACCESS_KEY

# 您的 Cloudflare Account ID
npx wrangler secret put CF_ACCOUNT_ID

查找 Account ID 的方法：前往 Cloudflare 仪表板，点击账户名称旁边的三点菜单，然后选择 "Copy Account ID"。

工作原理

R2 存储采用备份/恢复方式以简化操作：

容器启动时：

• 如果已挂载 R2 且包含备份数据，则会将其恢复到 moltbot 配置目录
• OpenClaw 使用其默认路径（无需特殊配置）

运行期间：

• 每 5 分钟运行一次定时任务，将 moltbot 配置同步到 R2
• 您也可以通过 /_admin/ 的管理界面触发手动备份

在管理界面中：

• 配置 R2 后，您将看到 "Last backup: [timestamp]"
• 点击 "Backup Now" 可触发立即同步

如果没有 R2 凭证，moltbot 仍可运行，但使用临时存储（容器重启时数据丢失）。

容器生命周期

默认情况下，沙盒容器会无限期保持运行（SANDBOX_SLEEP_AFTER=never）。这是推荐设置，因为冷启动需要 1-2 分钟。

为了降低不常用部署的成本，您可以配置容器在一段时间不活动后进入休眠：

npx wrangler secret put SANDBOX_SLEEP_AFTER
# 输入：10m（或 1h、30m 等）

当容器休眠后，下一个请求将触发冷启动。如果您已配置 R2 存储，配对的设备和数据将在重启后保留。

管理界面

访问 /_admin/ 的管理界面可以：

• R2 存储状态 - 显示 R2 是否已配置、上次备份时间，以及 "Backup Now" 按钮
• 重启网关 - 终止并重启 moltbot 网关进程
• 设备配对 - 查看待处理请求、单独或批量批准设备、查看已配对设备

管理界面需要 Cloudflare Access 认证（本地开发时为 DEV_MODE=true）。

调试端点

启用后（需要 DEBUG_ROUTES=true 和 Cloudflare Access），可在 /debug/* 使用调试端点：

• GET /debug/processes - 列出所有容器进程
• GET /debug/logs?id=<process_id> - 获取特定进程的日志
• GET /debug/version - 获取容器和 moltbot 版本信息

可选：聊天频道

Telegram

npx wrangler secret put TELEGRAM_BOT_TOKEN
npm run deploy

Discord

npx wrangler secret put DISCORD_BOT_TOKEN
npm run deploy

Slack

npx wrangler secret put SLACK_BOT_TOKEN
npx wrangler secret put SLACK_APP_TOKEN
npm run deploy

可选：浏览器自动化（CDP）

此 Worker 包含 Chrome DevTools Protocol (CDP) 垫片，可实现浏览器自动化功能。这使得 OpenClaw 能够控制无头浏览器，执行网页抓取、截图和自动化测试等任务。

设置

1. 设置共享密钥用于身份验证：

npx wrangler secret put CDP_SECRET
# 输入一个安全的随机字符串

2. 设置 Worker 的公共 URL：

npx wrangler secret put WORKER_URL
# 输入：https://your-worker.workers.dev

3. 重新部署：

npm run deploy

端点

端点	描述
GET /cdp/json/version	浏览器版本信息
GET /cdp/json/list	列出可用的浏览器目标
GET /cdp/json/new	创建新的浏览器目标
WS /cdp/devtools/browser/{id}	用于 CDP 命令的 WebSocket 连接

所有端点都需要通过 ?secret=<CDP_SECRET> 查询参数进行身份验证。

内置技能

容器在 /root/clawd/skills/ 中包含预安装的技能：

cloudflare-browser

通过 CDP（Chrome DevTools Protocol，Chrome 开发者工具协议）shim 实现浏览器自动化。需要设置 CDP_SECRET 和 WORKER_URL（详见上方的 浏览器自动化）。

脚本：

• screenshot.js - 捕获 URL 的屏幕截图
• video.js - 从多个 URL 创建视频
• cdp-client.js - 可复用的 CDP 客户端库

使用方法：

# 屏幕截图
node /root/clawd/skills/cloudflare-browser/scripts/screenshot.js https://example.com output.png

# 从多个 URL 生成视频
node /root/clawd/skills/cloudflare-browser/scripts/video.js "https://site1.com,https://site2.com" output.mp4 --scroll

完整文档请参见 skills/cloudflare-browser/SKILL.md。

可选：Cloudflare AI Gateway

你可以通过 Cloudflare AI Gateway 路由 API 请求，以实现缓存、速率限制、分析和成本追踪。OpenClaw 原生支持 Cloudflare AI Gateway，将其作为一等公民（first-class）提供商。

AI Gateway 作为 OpenClaw 与你的 AI 提供商（如 Anthropic）之间的代理。请求会被发送到 https://gateway.ai.cloudflare.com/v1/{account_id}/{gateway_id}/anthropic，而不是直接发送到 api.anthropic.com，从而获得 Cloudflare 的分析、缓存和速率限制功能。你仍然需要提供商的 API 密钥（例如你的 Anthropic API 密钥）——网关会将其转发给上游提供商。

设置

1. 在 Cloudflare Dashboard 的 AI Gateway 板块 创建一个 AI Gateway。
2. 设置三个必需的密钥：

# 你的 AI 提供商的 API 密钥（例如你的 Anthropic API 密钥）。
# 该密钥会通过网关传递给上游提供商。
npx wrangler secret put CLOUDFLARE_AI_GATEWAY_API_KEY

# 你的 Cloudflare 账户 ID
npx wrangler secret put CF_AI_GATEWAY_ACCOUNT_ID

# 你的 AI Gateway ID（来自网关概览页面）
npx wrangler secret put CF_AI_GATEWAY_GATEWAY_ID

这三个密钥都是必需的。OpenClaw 使用账户 ID 和网关 ID 构建网关 URL，并通过网关将 API 密钥传递给上游提供商。

3. 重新部署：

npm run deploy

配置 Cloudflare AI Gateway 后，它会优先于直接使用 ANTHROPIC_API_KEY 或 OPENAI_API_KEY。

选择模型

默认情况下，AI Gateway 使用 Anthropic 的 Claude Sonnet 4.5。要使用不同的模型或提供商，请使用 provider/model-id 格式设置 CF_AI_GATEWAY_MODEL：

npx wrangler secret put CF_AI_GATEWAY_MODEL
# 输入：workers-ai/@cf/meta/llama-3.3-70b-instruct-fp8-fast

这适用于任何 AI Gateway 提供商：

提供商	CF_AI_GATEWAY_MODEL 示例值	API 密钥说明
Workers AI	workers-ai/@cf/meta/llama-3.3-70b-instruct-fp8-fast	Cloudflare API token
OpenAI	openai/gpt-4o	OpenAI API key
Anthropic	anthropic/claude-sonnet-4-5	Anthropic API key
Groq	groq/llama-3.3-70b	Groq API key

注意： CLOUDFLARE_AI_GATEWAY_API_KEY 必须与你使用的提供商匹配——它是你的提供商 API 密钥，通过网关转发。你一次只能通过网关使用一个提供商。如需使用多个提供商，请同时使用直接密钥（ANTHROPIC_API_KEY、OPENAI_API_KEY）和网关配置。

统一计费（Unified Billing）下的 Workers AI

使用 统一计费，你可以无需单独的提供商 API 密钥即可使用 Workers AI 模型——Cloudflare 直接向你计费。将 CLOUDFLARE_AI_GATEWAY_API_KEY 设置为你的 AI Gateway 认证令牌（即 cf-aig-authorization 令牌）。

旧版 AI Gateway 配置

之前的 AI_GATEWAY_API_KEY + AI_GATEWAY_BASE_URL 方式仍支持向后兼容，但已弃用，建议使用上述原生配置。

所有密钥参考

密钥	是否必需	说明
CLOUDFLARE_AI_GATEWAY_API_KEY	是*	你的 AI 提供商 API 密钥，通过网关传递（例如你的 Anthropic API 密钥）。需要 CF_AI_GATEWAY_ACCOUNT_ID 和 CF_AI_GATEWAY_GATEWAY_ID
CF_AI_GATEWAY_ACCOUNT_ID	是*	你的 Cloudflare 账户 ID（用于构建网关 URL）
CF_AI_GATEWAY_GATEWAY_ID	是*	你的 AI Gateway ID（用于构建网关 URL）
CF_AI_GATEWAY_MODEL	否	覆盖默认模型：provider/model-id（例如 workers-ai/@cf/meta/llama-3.3-70b-instruct-fp8-fast）。参见 选择模型
ANTHROPIC_API_KEY	是*	直接 Anthropic API 密钥（AI Gateway 的替代方案）
ANTHROPIC_BASE_URL	否	直接 Anthropic API 基础 URL
OPENAI_API_KEY	否	OpenAI API 密钥（替代提供商）
AI_GATEWAY_API_KEY	否	旧版 AI Gateway API 密钥（已弃用，请改用 CLOUDFLARE_AI_GATEWAY_API_KEY）
AI_GATEWAY_BASE_URL	否	旧版 AI Gateway 端点 URL（已弃用）
CF_ACCESS_TEAM_DOMAIN	是*	Cloudflare Access 团队域名（管理后台必需）
CF_ACCESS_AUD	是*	Cloudflare Access 应用受众（管理后台必需）
MOLTBOT_GATEWAY_TOKEN	是	用于认证的网关令牌（通过 ?token= 查询参数传递）
DEV_MODE	否	设置为 true 以跳过 CF Access 认证和设备配对（仅本地开发）
DEBUG_ROUTES	否	设置为 true 以启用 /debug/* 路由
SANDBOX_SLEEP_AFTER	否	容器休眠超时：never（默认）或时长如 10m、1h
R2_ACCESS_KEY_ID	否	R2 持久化存储的访问密钥 ID
R2_SECRET_ACCESS_KEY	否	R2 持久化存储的密钥
CF_ACCOUNT_ID	否	Cloudflare 账户 ID（R2 存储必需）
TELEGRAM_BOT_TOKEN	否	Telegram 机器人令牌
TELEGRAM_DM_POLICY	否	Telegram DM 策略：pairing（默认）或 open
DISCORD_BOT_TOKEN	否	Discord 机器人令牌
DISCORD_DM_POLICY	否	Discord DM 策略：pairing（默认）或 open
SLACK_BOT_TOKEN	否	Slack 机器人令牌
SLACK_APP_TOKEN	否	Slack 应用令牌
CDP_SECRET	否	CDP 端点认证的共享密钥（参见 浏览器自动化）
WORKER_URL	否	Worker 的公开 URL（CDP 必需）

安全注意事项

认证层

Cloudflare Sandbox 中的 OpenClaw 使用多层认证：

1. Cloudflare Access - 保护管理路由（/_admin/、/api/*、/debug/*）。只有认证用户才能管理设备。

2. 网关令牌 - 访问控制界面必需。通过 ?token= 查询参数传递。请妥善保管。

3. 设备配对 - 每个设备（浏览器、CLI、聊天平台私信）必须先在管理后台明确批准，才能与助手交互。这是默认的"配对"私信策略。

故障排查

npm run dev 失败并显示 Unauthorized 错误： 你需要在 Containers 控制台 中启用 Cloudflare Containers

Gateway 启动失败： 检查 npx wrangler secret list 和 npx wrangler tail

配置更改未生效： 编辑 Dockerfile 中的 # Build cache bust: 注释并重新部署

首次请求缓慢： 冷启动（Cold start）需要 1-2 分钟，后续请求会更快

R2 未挂载： 检查是否已设置全部三个 R2 密钥（R2_ACCESS_KEY_ID、R2_SECRET_ACCESS_KEY、CF_ACCOUNT_ID）。注意：R2 挂载仅在生产环境中有效，wrangler dev 不支持

管理路由访问被拒绝： 确保已设置 CF_ACCESS_TEAM_DOMAIN 和 CF_ACCESS_AUD，并且你的 Cloudflare Access 应用配置正确

管理界面中设备未显示： 由于 WebSocket 连接开销，设备列表命令需要 10-15 秒，请等待后刷新

本地开发中的 WebSocket 问题： wrangler dev 在通过沙盒代理 WebSocket 时存在已知限制。HTTP 请求可以正常工作，但 WebSocket 连接可能会失败。部署到 Cloudflare 以获得完整功能

已知问题

Windows：Gateway 启动失败，退出代码 126（权限被拒绝）

在 Windows 上，Git 可能会以 CRLF 换行符而非 LF 检出 shell 脚本。这会导致 start-openclaw.sh 在 Linux 容器内以退出代码 126 失败。确保你的仓库使用 LF 换行符——使用 git config --global core.autocrlf input 配置 Git，或在 .gitattributes 文件中添加 * text=auto eol=lf。详见 #64

相关链接

• OpenClaw
• OpenClaw 文档
• Cloudflare Sandbox 文档
• Cloudflare Access 文档

moltworker 快速上手指南

在 Cloudflare Workers 上部署 OpenClaw 个人 AI 助手。

环境准备

系统要求

• Cloudflare Workers 付费计划（$5/月）：必需，用于 Cloudflare Sandbox 容器
• Anthropic API Key：用于 Claude 访问，或使用 AI Gateway 统一计费

前置依赖

• Node.js 和 npm
• Wrangler CLI（npm install -g wrangler）

预估费用

• 基础费用：$5/月（Workers 付费计划）
• 容器运行：约 $30/月（standard-1 配置 24/7 运行）
• 省钱方案：设置 SANDBOX_SLEEP_AFTER=10m，仅运行 4 小时/天约 $5-6/月

安装步骤

1. 克隆项目并安装依赖

git clone https://github.com/cloudflare/moltworker.git
cd moltworker
npm install

2. 配置 API 密钥

方式一：直接使用 Anthropic

npx wrangler secret put ANTHROPIC_API_KEY
# 输入你的 Anthropic API Key

方式二：使用 Cloudflare AI Gateway（推荐国内用户）

npx wrangler secret put CLOUDFLARE_AI_GATEWAY_API_KEY
npx wrangler secret put CF_AI_GATEWAY_ACCOUNT_ID
npx wrangler secret put CF_AI_GATEWAY_GATEWAY_ID

3. 生成网关访问令牌

export MOLTBOT_GATEWAY_TOKEN=$(openssl rand -hex 32)
echo "Your gateway token: $MOLTBOT_GATEWAY_TOKEN"
echo "$MOLTBOT_GATEWAY_TOKEN" | npx wrangler secret put MOLTBOT_GATEWAY_TOKEN

务必保存此令牌，用于访问 Control UI。

4. 配置 Cloudflare Access（必需）

启用 Access 保护

1. 进入 Workers & Pages 控制台
2. 选择你的 Worker → Settings → Domains & Routes
3. 在 workers.dev 行点击 ... → Enable Cloudflare Access
4. 前往 Zero Trust → Access → Applications，添加允许访问的邮箱

设置 Access 密钥

# 你的团队域名，如 myteam.cloudflareaccess.com
npx wrangler secret put CF_ACCESS_TEAM_DOMAIN

# 从 Access 应用设置复制的 AUD 标签
npx wrangler secret put CF_ACCESS_AUD

5. 配置 R2 持久化存储（推荐）

# 在 R2 控制台创建 API Token（Object Read & Write 权限）
npx wrangler secret put R2_ACCESS_KEY_ID
npx wrangler secret put R2_SECRET_ACCESS_KEY
npx wrangler secret put CF_ACCOUNT_ID

6. 部署

npm run deploy

基本使用

访问 Control UI

https://your-worker.workers.dev/?token=YOUR_GATEWAY_TOKEN

• 替换 your-worker 为你的 Worker 子域名
• 替换 YOUR_GATEWAY_TOKEN 为步骤 3 生成的令牌
• 首次访问需等待 1-2 分钟容器冷启动

设备配对流程

1. 用浏览器访问 Control UI
2. 设备进入等待批准状态
3. 管理员访问 https://your-worker.workers.dev/_admin/
4. 通过 Cloudflare Access 认证后，在 Admin UI 中批准设备
5. 设备获得访问权限，对话历史自动保存

本地开发

创建 .dev.vars 文件跳过认证：

DEV_MODE=true
DEBUG_ROUTES=true

npm run dev

常用管理操作

操作	路径
设备管理	/_admin/
立即备份到 R2	Admin UI 点击 "Backup Now"
重启网关	Admin UI 点击 "Restart Gateway"
调试端点	/debug/*（需 DEBUG_ROUTES=true）

容器休眠配置（省钱）

npx wrangler secret put SANDBOX_SLEEP_AFTER
# 输入: 10m 或 1h 等，空闲后自动休眠

注意：休眠后下次请求需 1-2 分钟冷启动，R2 配置可确保数据不丢失。