Cloudflare 宣布对所有开发者开放自管式 OAuth，不再要求手动审核入驻。背后是 AI 代理工具（AI Agent）对授权委派需求的爆炸性增长，以及一场涉及 1.3 亿笔数据列迁移的底层引擎世代替换。 （前情提要：Cloudflare 数据：网络上 34% 的流量不是人类、AI 爬虫正以 8 倍速度长大 ） （背景补充：瑞银、TD Cowen 同日上调 Arm 目标价到 475 镁，理由是自研CPU未来营收）
本文目录
Toggle
管理着全球 20% 网络流量的 Cloudflare，在本周做了一个关键的决定：让所有开发者都能自行建立和管理 OAuth 客户端，不再需要逐一手动审核入驻。这件事背后的驱动力是 AI 代理工具对「委派授权」的庞大需求。当 AI 模型需要代替用户存取 Cloudflare 资源时，过去只能依赖 API token，这种方式难以管理，也不适合需要明确同意范围的代理工作流程。
Cloudflare 并非 OAuth 新手。早在开发者使用 Wrangler CLI 工具或串接 PlanetScale 等合作伙伴服务时，OAuth 就已在背景静默运作。但这些整合都是「手动入驻」的封闭模式，第三方开发者根本无法自行建立标准 OAuth 流程。
Cloudflare 在官方部落格中指出，过去一年他们已逐步引进早期合作伙伴，持续完善同意机制、撤销流程与安全模型。但随着开发者平台规模扩大，加上 AI 代理工具对委派存取的需求急速上升，「向所有用户开放 OAuth」成为平台成功的必要条件，而非可选项。
自管式 OAuth 让开发者能提供标准的授权流程：用户直接授予有范围限制的存取权，应用程序可以知道自己被允许做什么、用户也可以随时撤销。这对于建构 SaaS 整合、内部开发者平台，以及各类 AI 代理工具而言，是比 API token 更干净的基础架构。
然而，要让 OAuth 规模化开放，Cloudflare 必须先解决一个工程问题：底层授权引擎 Hydra 已不堪重负。
Hydra 是一套开源 OAuth 引擎，Cloudflare 多年前部署它来支撑平台的 OAuth 基础设施。在用量有限的时期表现稳定，但随着开发者平台扩张与 AI 工作流程普及，原版 Hydra 的性能瓶颈与功能限制越来越明显。
升级计划分为两个阶段展开。第一阶段是 Hydra 1.X 版本升级，工程师发现即使只是小版本迁移，数据库的结构变更规模也不可小觑，他们重写了 SQL 迁移脚本，改用 CREATE INDEX CONCURRENTLY 等不锁定写入的技术，并自定义了 Hydra 的构建版本，以明确指定字段取代原本的 SELECT * 查询，降低不必要的数据传输。
第二阶段是 Hydra 2.X 的蓝绿部署（blue-green deployment）。所谓蓝绿部署，是指同时维持新旧两套系统执行，流量在确认新系统稳定后才逐步切换，任何时刻都可以即时回滚，把系统中断的风险压到接近零。Cloudflare 表示，在这个框架下他们建立了一套基于 Cloudflare Queues 的队列系统，让撤销事件能在新旧系统之间正确同步。
整个数据库迁移的规模相当可观：共更新了 1.325 亿笔数据列、插入 1.147 亿笔新数据列，产生 136.97 GB 的暂存数据。
蓝绿切换完成后，监控数据出现了一个不预期的信号：refresh token 错误率上升。
追查原因后发现，新版 Hydra 对 refresh token 的重复使用采取了更严格的失效机制，一旦侦测到同一个 refresh token 被重复使用，整组存取凭证（access token 和 refresh token）都会被一并撤销。
这对 Wrangler 和 MCP 客户端造成问题，因为这类工具在网络不稳定或并发请求的情境下，本来就可能触发 refresh token 的重复使用。
解法是在路由 OAuth 流量的 Worker 中加入「refresh token 合并机制：当侦测到多个针对同一 token 的更新请求同时涌入时，系统合并为单一请求处理，避免触发连锁失效逻辑。这个修补让 MCP 客户端的整合行为回到正常状态。
这段插曲也揭示了一个现实：AI 代理工具的授权行为模式，和传统人工操作的 OAuth 流程存在结构性差异。代理工具可能在短时间内发出大量并发的 token 更新请求，而传统 OAuth 实现并未针对这种使用情境设计。
升级完成后，各项性能指标的改善幅度颇为显著。API P95 延迟从 185 毫秒降至 101 毫秒，降幅达 45%；内存常驻占用从 888MB 降至 763MB，缩减 14%；Go heap 内存配置从 449MB 降至 271MB，减少 40%；Goroutine 数量从 4,015 个降至 3,076 个，减少 23%；CPU 用量从 1.07 核降至 0.67 核，节省 37%。
Cloudflare 表示，自管式 OAuth 的开放，让开发者得以建构用户同意范围更透明、撤销更容易的整合方案，这对于 AI 代理工具的生态系健康尤为重要。当 AI 模型代替人类操作服务，「这个代理被授权做什么」和「如何撤销它的存取」，会是信任框架中不可回避的问题。
151.01万 热度
2.86万 热度
31.02万 热度
51.03万 热度
97.55万 热度
Cloudflare 宣布 OAuth 全面解禁，AI Agent 开发者不再需要手动审核
Cloudflare 宣布对所有开发者开放自管式 OAuth，不再要求手动审核入驻。背后是 AI 代理工具（AI Agent）对授权委派需求的爆炸性增长，以及一场涉及 1.3 亿笔数据列迁移的底层引擎世代替换。
（前情提要：Cloudflare 数据：网络上 34% 的流量不是人类、AI 爬虫正以 8 倍速度长大 ）
（背景补充：瑞银、TD Cowen 同日上调 Arm 目标价到 475 镁，理由是自研CPU未来营收）
本文目录
Toggle
管理着全球 20% 网络流量的 Cloudflare，在本周做了一个关键的决定：让所有开发者都能自行建立和管理 OAuth 客户端，不再需要逐一手动审核入驻。这件事背后的驱动力是 AI 代理工具对「委派授权」的庞大需求。当 AI 模型需要代替用户存取 Cloudflare 资源时，过去只能依赖 API token，这种方式难以管理，也不适合需要明确同意范围的代理工作流程。
为什么现在开放？
Cloudflare 并非 OAuth 新手。早在开发者使用 Wrangler CLI 工具或串接 PlanetScale 等合作伙伴服务时，OAuth 就已在背景静默运作。但这些整合都是「手动入驻」的封闭模式，第三方开发者根本无法自行建立标准 OAuth 流程。
Cloudflare 在官方部落格中指出，过去一年他们已逐步引进早期合作伙伴，持续完善同意机制、撤销流程与安全模型。但随着开发者平台规模扩大，加上 AI 代理工具对委派存取的需求急速上升，「向所有用户开放 OAuth」成为平台成功的必要条件，而非可选项。
自管式 OAuth 让开发者能提供标准的授权流程：用户直接授予有范围限制的存取权，应用程序可以知道自己被允许做什么、用户也可以随时撤销。这对于建构 SaaS 整合、内部开发者平台，以及各类 AI 代理工具而言，是比 API token 更干净的基础架构。
一次涉及 1.3 亿笔数据列的底层引擎替换
然而，要让 OAuth 规模化开放，Cloudflare 必须先解决一个工程问题：底层授权引擎 Hydra 已不堪重负。
Hydra 是一套开源 OAuth 引擎，Cloudflare 多年前部署它来支撑平台的 OAuth 基础设施。在用量有限的时期表现稳定，但随着开发者平台扩张与 AI 工作流程普及，原版 Hydra 的性能瓶颈与功能限制越来越明显。
升级计划分为两个阶段展开。第一阶段是 Hydra 1.X 版本升级，工程师发现即使只是小版本迁移，数据库的结构变更规模也不可小觑，他们重写了 SQL 迁移脚本，改用 CREATE INDEX CONCURRENTLY 等不锁定写入的技术，并自定义了 Hydra 的构建版本，以明确指定字段取代原本的 SELECT * 查询，降低不必要的数据传输。
第二阶段是 Hydra 2.X 的蓝绿部署（blue-green deployment）。所谓蓝绿部署，是指同时维持新旧两套系统执行，流量在确认新系统稳定后才逐步切换，任何时刻都可以即时回滚，把系统中断的风险压到接近零。Cloudflare 表示，在这个框架下他们建立了一套基于 Cloudflare Queues 的队列系统，让撤销事件能在新旧系统之间正确同步。
整个数据库迁移的规模相当可观：共更新了 1.325 亿笔数据列、插入 1.147 亿笔新数据列，产生 136.97 GB 的暂存数据。
MCP 客户端的 refresh token 连锁失效问题
蓝绿切换完成后，监控数据出现了一个不预期的信号：refresh token 错误率上升。
追查原因后发现，新版 Hydra 对 refresh token 的重复使用采取了更严格的失效机制，一旦侦测到同一个 refresh token 被重复使用，整组存取凭证（access token 和 refresh token）都会被一并撤销。
这对 Wrangler 和 MCP 客户端造成问题，因为这类工具在网络不稳定或并发请求的情境下，本来就可能触发 refresh token 的重复使用。
解法是在路由 OAuth 流量的 Worker 中加入「refresh token 合并机制：当侦测到多个针对同一 token 的更新请求同时涌入时，系统合并为单一请求处理，避免触发连锁失效逻辑。这个修补让 MCP 客户端的整合行为回到正常状态。
这段插曲也揭示了一个现实：AI 代理工具的授权行为模式，和传统人工操作的 OAuth 流程存在结构性差异。代理工具可能在短时间内发出大量并发的 token 更新请求，而传统 OAuth 实现并未针对这种使用情境设计。
升级完成后，各项性能指标的改善幅度颇为显著。API P95 延迟从 185 毫秒降至 101 毫秒，降幅达 45%；内存常驻占用从 888MB 降至 763MB，缩减 14%；Go heap 内存配置从 449MB 降至 271MB，减少 40%；Goroutine 数量从 4,015 个降至 3,076 个，减少 23%；CPU 用量从 1.07 核降至 0.67 核，节省 37%。
Cloudflare 表示，自管式 OAuth 的开放，让开发者得以建构用户同意范围更透明、撤销更容易的整合方案，这对于 AI 代理工具的生态系健康尤为重要。当 AI 模型代替人类操作服务，「这个代理被授权做什么」和「如何撤销它的存取」，会是信任框架中不可回避的问题。