free-dam-man / cf-global-edge-node-skill

# CF 全球边缘节点 Skill(可下载包 v2)
把一套 Cloudflare 全球边缘节点(Workers/Pages + KV 优选 IP)的搭建经验做成 AI Skill。新 Bot 只看这个 Skill,在操作者提供自己的 Cloudflare 账号/域名后,应能一路走到:真实订阅链接 + 可扫码的订阅二维码。
v2 修订(2026-10-17,依独立实测 15 条意见):新增开工前 STOP-and-ask 门禁清单、源码钉版下载+SHA-256 校验、按源码写死的订阅 URL/令牌公式、完整 VLESS URI 示例、base64 解码验证、优选 IP 先测活再写 ADD.txt、KV 自动建键对照表、强制二维码交付步骤与 Final Delivery Checklist。
实测补充(2026-10-17):优先绑自定义域名当正式 HOST/SNI;只用 workers.dev 时大陆网络常见全部节点超时。部署方必须先自验订阅解码与握手,不得把未验证的节点批量甩给用户逐个试。
提速路线(A>B>C,详见 SKILL.md 3.4/第6节):A 域名已在 Cloudflare 激活的,直接用 API/Wrangler 绑 Worker 自定义域名,Cloudflare 自动建 DNS+证书,分钟级、不用等 NS;B 域名在别家/DNSHE 但能改 DNS 的,走 Pages + 外部 CNAME 子域名(edge-node 子域名指向 .pages.dev),跳过整域 NS 激活,根域名不行、记录冲突就换子域名名绝不覆盖;C 实在不行才迁 NS 到 Cloudflare,最慢,每15分钟查一次、超2小时还 initializing 就停下汇报并建议删区重加,激活前不绑域名不出码。用户答题时 AI 后台并行预热(下载校验程序、拉优选清单、预探候选),答完直接开工。
优选 IP 两段式(详见 SKILL.md 第7节):第一段图快,ADD.txt 只放一行社区优选列表 URL(按用户选的地区交集),交付必须明说「社区源自动列表版(未逐个实测)」;同一轮里第二段由 AI 拉清单、按地区筛、逐个 TLS 探活(SNI=正式域名),冻结最多10个明确 IP 进 ADD.txt 并去掉那行活链接,才叫「已冻结实测版」。社区源是第三方、无授权声明、可能失效或变更,只运行时引用,绝不把它们的数据文件打包进本包;BEST_SUB 默认留空,绝不把用户的 UUID/HOST 发给公共订阅生成/转换站。CloudflareSpeedTest 只作小样本兜底(-n 200 -dn 10),AI 机器上测的快不等于用户手机运营商测的快。
## 架构
- 入口:Cloudflare 全球边缘(随机优选,或 KV `ADD.txt` 里的自选优选 IP)
- 核心:钉版单文件 Worker(`_worker.js`,上游 cmliu/edgetunnel,commit `66f1c51c4ecee058b959104cb0517e073cdb1213`,SHA-256 见 SKILL.md)
- 出口:Cloudflare Workers 出口。不是住宅出口,也不是 VPS。
- 交付物:管理面板 URL、订阅 URL(`https:// /sub?token= `)、订阅二维码 PNG、已连通的客户端
## 小白模式(默认)
下载了这个 Skill 的 AI 应该进入"向导模式":一次只问一个问题(有没有 CF 账号、用免费地址还是自己的域名、面板密码、想要哪个国家),其余的它自己做,最后给用户一张二维码扫码就行。用户不需要懂部署,也不需要自己动手部署。
必需与可选,说清楚:
- Cloudflare 账号:必需,免费注册,没有它搭不了。
- 域名:不必需,但有就优先用。有绑在 Cloudflare 上的域名就绑个子域名当正式地址;没有域名也能先用 workers.dev 部署,但大陆网络下 workers.dev 当节点地址常见整批节点握手超时(面板能开不代表节点能连),真超时就绑自定义域名、改 HOST 后重发订阅和二维码(换地址后旧二维码失效)。
- 国家/地区:用户自己选。AI 按选的地区找入口、实测出口IP归属地,报"实际出口是哪儿",用户点头才定,不行就换。优选IP只能尽量偏向某地区,不能承诺任意国家、更不能承诺住宅出口;出口始终是 Cloudflare 边缘。
## 向导开场预览
装好 Skill 的 AI 会先发这一张卡, 然后按 第1/6步 到 第6/6步 一步一步问, 最后一步是 第6/6步(选地区):
 [code] 
觉得太长可以对 AI 说"简单点", 它会压成三段对话来讲, 但该问的和该验的一样都不会少。
没域名也有路(第2/6步子分支 D1-D4): 第2步选 3,AI 先问是否主要在大陆网络用,不在大陆可直接跳过域名用 workers.dev;在大陆又想稳,AI 会自己打开它的云端浏览器去 DNSHE 免费域名 和 Cloudflare 全程操作注册(该站有不同年限，优先选10年期；若只有1年期，老实告知续期规则：到期前180天内免费续；以站点当期规则为准,不承诺没在现场看到的年限),你不用在自己的浏览器里动手注册。你只过几个"确认点":确认登录状态(如批准 Google 登录提示、确认"已登录")、完成 AI 做不了的人机验证/2FA 验证码、以及对着准确域名回复"好，注册 "后 AI 才提交注册。密码和验证码绝不打进聊天,只填进浏览器自己的登录框/宿主提供的安全凭据提示;AI 不得绕过人机验证、不得批量注册,一次只注一个。查域名、改 NS 到 Cloudflare、等 DNS 激活、绑 Worker 自定义域名、改 HOST、重发订阅和二维码都由 AI 在云端浏览器/后台做完再汇报;AI 若根本没有浏览器工具,必须老实说并改成一步步引导,不假装浏览过。免费套餐若不让改 NS,AI 会停下来让你选别的域名或接受 workers.dev 的超时风险,不假装成功。域名是你自己的资产,DNSHE 和 Cloudflare 的登录方式请自己收好。
电脑端实跑补记(已去敏,详见 SKILL.md 第3.3/3.4/6/9节):域名卡 `initializing` 先查建站向导/计划步骤是否走完,没走完 Cloudflare 可能还没开始开通,走完再套每15分钟查、超2小时停的规则;~5MB 大 Worker 的密钥默认走面板添加(干净重部署),CLI/API 加密钥后必须立刻验 `/login`、`/sub`,若持续 1101/500 且重传代码修不好,就删掉重建这个新建 Worker 再用面板加密钥——这是现场观察的故障模式,不是"CLI 必坏"的定论,此前 API 部署也有成功例;某些绑域名接口不收 OAuth 令牌时改走面板绑域名;排 500 用最小对照组,一次只变一个因素(无密钥/有密钥、小文件/大文件)。
手机端实跑补记(已去敏,详见 SKILL.md 第6/7/9节):Pages 网页拖拽上传 `_worker.js` 卡住超10分钟就改走 API/CLI——临时令