Cloudflare Open WebUI Tunnel Operator

当需要通过 Cloudflare Tunnel 暴露 Open WebUI，且 Cloudflare API token 保存在 1Password 中时，使用这个 skill。

Read First | 先读这些

• {baseDir}/README.md
• {baseDir}/WORKFLOW.md
• {baseDir}/FAQ.md
• {baseDir}/CHANGELOG.md

Primary Rule | 核心原则

把 1Password 当作密钥来源，把 knowledge/ 当作规范文档来源，把 ClawHub 仅当作分发层。

Workflow | 执行流程

1. 确认本地 Open WebUI 健康
2. 确认 op 能读取 Cloudflare token
3. 创建或更新 remote-managed tunnel 与 DNS
4. 把运行态 tunnel token 写入本地 env 文件
5. 用 Docker 启动 cloudflared
6. 如果需要跨重启持久化，用 systemd
7. 验证本地与公网 URL
8. 如果 account_id 是推断得到的，回填到 1Password

Strong Heuristics | 强判断规则

• 如果本地 Open WebUI 已宕机，不要优先排查 Cloudflare
• 如果 1Password 条目中缺失 account_id，应推断一次并写回
• 如果 systemd 无法向 1Password 认证，优先检查其是否调用了错误的 op 二进制文件
• 如果公网 URL 返回 502，应在修改 tunnel 配置前先确认 origin 是否就绪
• 应基于项目语义推导 hostname，而非使用机器 hostname

中文解释：

• 本地 Open WebUI 没起来，就不要先查 Cloudflare。
• 1Password 缺 account_id 时，可先推断一次，再回填。
• systemd 认证不到 1Password 时，优先检查它是否调用了错误的 op。
• 公网返回 502 时，先检查 origin 是否就绪，不要先改 tunnel 配置。
• 域名应按项目语义命名，不要按机器名命名。

Safe Commands | 安全命令

op whoami
docker compose ps
curl -I http://localhost:3301
curl -I https://your-hostname.example.com
systemctl status --no-pager your-tunnel.service

Response Format | 输出格式

始终返回：

1. 当前 workflow 状态
2. 缺失的产物（artifacts）
3. 下一步最优的单个操作
4. 该操作完成后的验证方式

Constraints | 约束

• 不得泄露来自 1Password、.env 或运行态 env 文件中的密钥值
• 不得发布机器专属 token 或原始聊天记录（raw transcripts）
• 优先采用自包含的文档与 skill 包内容
• 必须显式声明 hostname 与 origin service 的映射关系

中文约束：

• 不要泄露 1Password、.env 或运行态 env 文件中的密钥值。
• 不要发布机器专属 token 或原始聊天记录。
• 优先保持文档和 skill 包自包含。
• 明确写清楚 hostname 和 origin service 的映射关系。