Cloudflare Tunnel 反代怎么设置访问密码：用 Access 保护隐私页面
NodeSeek 用户询问如何为 Cloudflare Tunnel 暴露的隐私内容增加登录验证。推荐使用 Cloudflare Access 在源站之前校验身份，可选择身份提供商或邮箱一次性验证码。
发生了什么
NodeSeek 用户询问：通过 Cloudflare Tunnel 反向代理隐私内容后，怎样让访问者先完成密码或身份验证。仅创建 Tunnel 和公开主机名并不会自动限制访问；如果没有额外访问策略，知道地址的人可能直接打开源站内容。
Cloudflare 官方提供的对应能力是 Access。它位于访问者和自托管应用之间，根据身份与策略决定是否放行，比在页面中写一个共享密码更适合保护管理面板、家庭服务和内部工具。
Cloudflare Tunnel 怎么添加访问验证
- 在 Cloudflare Zero Trust 控制台进入 Access 应用管理，创建一个自托管应用。
- 填写 Tunnel 已发布的域名或需要保护的具体路径，并创建 Allow 策略。
- 选择身份提供商；个人或小范围使用可以配置邮箱一次性验证码，只允许明确列出的邮箱地址。
- 设置合理的会话有效期，需要更严格控制时再增加多因素认证或设备条件。
- 将应用与 Tunnel 的公开主机名对应，并启用 Access 保护与令牌校验。
- 使用无痕窗口和未授权邮箱测试，确认未登录、错误邮箱和会话过期时都不能访问源站。
使用邮箱验证码时，允许的用户访问页面后输入邮箱，Cloudflare 会发送一次性代码；只有命中 Allow 策略的邮箱才能实际收到代码。共享给多人时，建议按个人邮箱授权，便于撤销和审计，而不是共用同一个静态密码。
能提高什么效率
Access 把登录页、身份验证、会话和访问策略放在 Cloudflare 边缘处理，源站应用无需分别开发密码页面。多个内网服务可以复用身份提供商和策略，新增或撤销用户时不必逐台修改应用账号；日志也更容易定位某个身份的访问记录。
常见配置风险
不要在 Allow 策略中直接放行 Everyone，也不要把“所有能完成邮箱验证码的人”误当成指定邮箱白名单。应确认源站端口没有绕过 Tunnel 直接暴露到公网，并验证 Access 令牌，避免攻击者从其他路径直连源站。极敏感内容还应保留应用自身认证、最小权限和数据加密，不能只依赖一层入口验证。