Cloudflare thông báo dỡ bỏ hoàn toàn OAuth, nhà phát triển AI Agent không còn cần phải xét duyệt thủ công.

Cloudflare thông báo mở OAuth tự quản lý cho tất cả nhà phát triển, không còn yêu cầu phê duyệt thủ công khi đăng ký. Đằng sau là sự bùng nổ nhu cầu ủy quyền từ các công cụ AI Agent, cùng với việc thay thế thế hệ động cơ nền tảng liên quan đến di chuyển 130 triệu dòng dữ liệu.

(Tóm tắt trước: Dữ liệu Cloudflare: 34% lưu lượng trên mạng không phải con người, AI bot đang tăng trưởng với tốc độ gấp 8 lần)

(Bổ sung bối cảnh: UBS và TD Cowen cùng ngày nâng giá mục tiêu của Arm lên 475 USD, với lý do doanh thu từ CPU tự phát triển trong tương lai)

Mục lục bài viết

Chuyển đổi

• Tại sao mở bây giờ?
• Một lần thay thế động cơ nền tảng liên quan đến 130 triệu dòng dữ liệu
• Vấn đề refresh token liên hoàn mất hiệu lực ở phía máy khách MCP

Cloudflare, đơn vị quản lý 20% lưu lượng mạng toàn cầu, đã đưa ra quyết định then chốt trong tuần này: cho phép tất cả nhà phát triển tự tạo và quản lý máy khách OAuth, không còn yêu cầu phê duyệt thủ công từng cái một. Động lực đằng sau là nhu cầu khổng lồ về "ủy quyền ủy thác" từ các công cụ AI Agent. Khi mô hình AI cần truy cập tài nguyên Cloudflare thay mặt người dùng, trước đây chỉ có thể dựa vào API token, cách này khó quản lý và không phù hợp với quy trình làm việc ủy quyền yêu cầu phạm vi đồng ý rõ ràng.

Tại sao mở bây giờ?

Cloudflare không phải là người mới về OAuth. Ngay từ khi nhà phát triển sử dụng công cụ CLI Wrangler hoặc kết nối các dịch vụ đối tác như PlanetScale, OAuth đã hoạt động ngầm trong nền. Nhưng các tích hợp này đều là mô hình đóng "đăng ký thủ công", nhà phát triển bên thứ ba hoàn toàn không thể tự thiết lập quy trình OAuth tiêu chuẩn.

Cloudflare chỉ ra trong blog chính thức rằng trong năm qua họ đã dần dần giới thiệu các đối tác ban đầu, liên tục hoàn thiện cơ chế đồng ý, quy trình thu hồi và mô hình bảo mật. Nhưng cùng với việc mở rộng quy mô nền tảng nhà phát triển và nhu cầu truy cập ủy thác từ các công cụ AI Agent tăng vọt, việc "mở OAuth cho tất cả người dùng" đã trở thành điều kiện cần thiết để nền tảng thành công, chứ không phải là tùy chọn.

OAuth tự quản lý cho phép nhà phát triển cung cấp quy trình ủy quyền tiêu chuẩn: người dùng trực tiếp cấp quyền truy cập có giới hạn phạm vi, ứng dụng có thể biết mình được phép làm gì, người dùng cũng có thể thu hồi bất cứ lúc nào. Điều này là cơ sở hạ tầng sạch hơn so với API token cho việc xây dựng tích hợp SaaS, nền tảng nhà phát triển nội bộ và các loại công cụ AI Agent.

Một lần thay thế động cơ nền tảng liên quan đến 130 triệu dòng dữ liệu

Tuy nhiên, để mở rộng quy mô OAuth, Cloudflare phải giải quyết trước một vấn đề kỹ thuật: động cơ ủy quyền nền tảng Hydra đã không chịu nổi tải.

Hydra là một động cơ OAuth nguồn mở, Cloudflare đã triển khai nó nhiều năm trước để hỗ trợ cơ sở hạ tầng OAuth của nền tảng. Trong thời kỳ sử dụng hạn chế, nó hoạt động ổn định, nhưng cùng với sự mở rộng của nền tảng nhà phát triển và sự phổ biến của quy trình AI, các nút thắt hiệu suất và hạn chế chức năng của Hydra gốc ngày càng rõ ràng.

Kế hoạch nâng cấp được triển khai theo hai giai đoạn. Giai đoạn đầu là nâng cấp phiên bản Hydra 1.X, các kỹ sư phát hiện rằng ngay cả với việc di chuyển phiên bản nhỏ, quy mô thay đổi cấu trúc cơ sở dữ liệu cũng không thể xem thường. Họ đã viết lại tập lệnh di chuyển SQL, sử dụng các kỹ thuật không khóa ghi như CREATE INDEX CONCURRENTLY, và tùy chỉnh phiên bản xây dựng của Hydra, thay thế truy vấn SELECT * bằng các trường được chỉ định rõ ràng, giảm truyền dữ liệu không cần thiết.

Giai đoạn thứ hai là triển khai xanh lam (blue-green deployment) cho Hydra 2.X. Cái gọi là triển khai xanh lam là duy trì đồng thời cả hệ thống cũ và mới hoạt động, lưu lượng chỉ được chuyển dần sau khi xác nhận hệ thống mới ổn định, có thể quay lại ngay lập tức bất kỳ lúc nào, giảm rủi ro gián đoạn hệ thống xuống gần như bằng không. Cloudflare cho biết trong khuôn khổ này, họ đã xây dựng một hệ thống hàng đợi dựa trên Cloudflare Queues, để đồng bộ hóa chính xác các sự kiện thu hồi giữa hệ thống cũ và mới.

Quy mô di chuyển cơ sở dữ liệu khá đáng kể: tổng cộng đã cập nhật 132,5 triệu dòng dữ liệu, chèn 114,7 triệu dòng dữ liệu mới, tạo ra 136,97 GB dữ liệu tạm thời.

Vấn đề refresh token liên hoàn mất hiệu lực ở phía máy khách MCP

Sau khi hoàn tất chuyển đổi xanh lam, dữ liệu giám sát xuất hiện một tín hiệu bất ngờ: tỷ lệ lỗi refresh token tăng lên.

Sau khi truy tìm nguyên nhân, phát hiện ra rằng phiên bản Hydra mới áp dụng cơ chế vô hiệu hóa nghiêm ngặt hơn đối với việc sử dụng lại refresh token, một khi phát hiện cùng một refresh token được sử dụng lại, toàn bộ bộ chứng chỉ truy cập (access token và refresh token) đều bị thu hồi cùng lúc.

Điều này gây ra vấn đề cho máy khách Wrangler và MCP, vì các công cụ này trong trường hợp mạng không ổn định hoặc yêu cầu đồng thời, vốn có thể kích hoạt việc sử dụng lại refresh token.

Giải pháp là thêm "cơ chế hợp nhất refresh token" vào Worker định tuyến lưu lượng OAuth: khi phát hiện nhiều yêu cầu cập nhật cho cùng một token đổ vào cùng lúc, hệ thống hợp nhất thành một yêu cầu duy nhất để xử lý, tránh kích hoạt logic vô hiệu hóa liên hoàn. Bản vá này đã đưa hành vi tích hợp của máy khách MCP trở lại trạng thái bình thường.

Đoạn nhạc này cũng tiết lộ một thực tế: mô hình hành vi ủy quyền của các công cụ AI Agent có sự khác biệt cấu trúc so với quy trình OAuth truyền thống do con người thao tác. Các công cụ ủy quyền có thể gửi một lượng lớn yêu cầu cập nhật token đồng thời trong thời gian ngắn, trong khi triển khai OAuth truyền thống không được thiết kế cho tình huống sử dụng này.

Sau khi nâng cấp hoàn tất, các chỉ số hiệu suất cải thiện đáng kể. Độ trễ API P95 giảm từ 185 ms xuống 101 ms, giảm 45%; bộ nhớ thường trú từ 888MB xuống 763MB, giảm 14%; cấp phát bộ nhớ Go heap từ 449MB xuống 271MB, giảm 40%; số lượng Goroutine từ 4.015 xuống 3.076, giảm 23%; mức sử dụng CPU từ 1,07 lõi xuống 0,67 lõi, tiết kiệm 37%.

Cloudflare cho biết việc mở OAuth tự quản lý cho phép nhà phát triển xây dựng các giải pháp tích hợp với phạm vi đồng ý của người dùng minh bạch hơn và dễ thu hồi hơn, điều này đặc biệt quan trọng đối với sức khỏe của hệ sinh thái công cụ AI Agent. Khi mô hình AI thay thế con người vận hành dịch vụ, "công cụ ủy quyền này được phép làm gì" và "làm thế nào để thu hồi quyền truy cập của nó" sẽ là vấn đề không thể tránh khỏi trong khuôn khổ tin cậy.