如何在Dify中配置Cloudflare Turnstile实现API调用的防刷保护-人工智能-PHP中文网

需在dify前端嵌入turnstile验证组件：先在cloudflare zero trust创建自托管应用获取site key，再于前端页面引入js脚本、添加验证容器并定义回调存储token；随后在api请求头注入cf-turnstile-token，后端通过nginx+lua调用cloudflare siteverify接口校验，并配合dify api key限流策略实现双重防护。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

如何在dify中配置cloudflare turnstile实现api调用的防刷保护

在Dify前端页面嵌入Turnstile验证组件

你需要让用户在触发API调用前（如提交表单、点击运行按钮）先通过人机验证，防止脚本批量调用Dify后端接口。

登录Cloudflare控制台 → 进入「Zero Trust」→ 「Access」→ 「Applications」→ 点击「Add an application」→ 选择「Self-hosted」→ 填写应用名称（例如“Dify Workflow Frontend”）→ 在「Domain」栏输入你部署Dify前端的域名（如https://ai.yourdomain.com）→ 点击「Save」→ 页面跳转后复制生成的Site Key。

打开Dify前端项目源码，定位到需防护的交互入口页面（如src/pages/ChatPage.vue或public/index.html），在底部插入Turnstile JS加载脚本：<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>。

在提交按钮上方添加验证容器，例如：<div class="cf-turnstile" data-sitekey="YOUR_SITE_KEY" data-callback="onTurnstileSuccess" data-theme="light"></div>。注意必须替换YOUR_SITE_KEY为上一步复制的真实值，否则验证永远失败。

在同页面JS作用域内定义回调函数：window.onTurnstileSuccess = function(token) { localStorage.setItem('turnstile_token', token); };。该token仅一次有效且5分钟过期，必须在每次请求时读取并传给后端——【切勿复用旧token或从URL参数硬编码传入】。

修改Dify客户端请求头注入turnstileToken

找到Dify前端发起API调用的位置（通常是src/utils/api.js或src/services/workflowService.js），定位到fetch或axios请求配置处。

在请求头中追加CF-Turnstile-Token字段，值为从localStorage读取的token：headers['CF-Turnstile-Token'] = localStorage.getItem('turnstile_token') || '';。

这一步必须放在请求发送前执行，且不能缓存token引用——因为用户刷新页面后原token已失效，必须重新触发Turnstile获取新token。若此处未及时更新，后端校验将直接返回403错误。

确保所有受保护的API路径都携带该头，包括/v1/chat-messages、/v1/workflows/run、/v1/completion等。遗漏任一路径都会留下防刷缺口。

在Dify后端服务中验证turnstileToken

由于Dify官方不原生支持Turnstile校验，需在反向代理层或自定义中间件中拦截并验证token。推荐使用Nginx作为前置网关处理。

小生淘宝客无须api调用打折系统

小生淘宝客无须api调用打折系统是以php+MySQL进行开发的淘宝客系统。

下载

编辑Nginx配置文件，在location /v1/块内添加如下逻辑：

```nginx
set $turnstile_valid "0";
if ($http_cf_turnstile_token != "") {
  set $turnstile_valid "1";
}
if ($turnstile_valid = "1") {
  proxy_set_header X-Turnstile-Verify "1";
  proxy_pass_request_headers on;
}
```

接着配置Lua模块调用Cloudflare siteverify API（需启用ngx_http_lua_module）：access_by_lua_block { local res = httpc:request_uri("https://challenges.cloudflare.com/turnstile/v0/siteverify", { method = "POST", body = "secret=YOUR_SECRET_KEY&response=" .. ngx.var.http_cf_turnstile_token }) if res.status ~= 200 or not cjson.decode(res.body).success then ngx.exit(403) end }。其中YOUR_SECRET_KEY需替换为Cloudflare控制台「Access」→「Applications」→ 对应应用详情页中的Secret Key。

【Secret Key绝对不可泄露到前端或日志中，必须通过环境变量注入Nginx Lua脚本】。若误写死在配置里，攻击者可直接盗用它伪造任意合法token。