1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | turnstile-spin-cloudflare-skills |
| 项目自述名称 | Turnstile Spin（子技能自身 name 字段为 “turnstile-spin”；同名文档亦收录于 Cloudflare 官方产品文档站） |
| 作者/维护者 | Cloudflare，GitHub 官方组织 cloudflare |
| 来源链接 | https://github.com/cloudflare/skills/tree/main/skills/turnstile-spin |
| 许可证 | Apache-2.0（GitHub API 取数，仓库级） |
| GitHub Stars | 2,456（GitHub API 取数，2026-07-23，指 cloudflare/skills 整个合集仓库，不单独归给本子技能） |
| Forks | 228（GitHub API 取数，同上口径） |
| 最新版本 | 未获取——仓库未使用 GitHub Releases/Tag 发版，采用持续提交式发布；子技能路径最近一次提交为 2026-07-09 |
| 安装方式 | Claude Code 插件市场一条命令安装，或直接下载官方镜像文件到本地技能目录 |
2. 功能介绍与亮点
turnstile-spin 是 Cloudflare 官方合集仓库 cloudflare/skills 中的一个子技能，把“给网站接入 Turnstile 机器人防护”这件事从一句话请求变成一次端到端自动化：
- 十二步向导全自动完成：探测已有 Cloudflare API 凭据 → 扫描代码库识别前端框架（Next.js/Astro/SvelteKit/Hugo/纯 HTML 等）与后端处理位置 → 通过 API 创建 Turnstile 组件 → 在选定表单插入前端片段 → 在用户既有后端处理函数中接入官方 siteverify 校验 → 跑一次真实校验 → 询问是否将技能持久化到本地供后续复用
- 一键迁移已有验证码：自动识别代码库中已存在的 reCAPTCHA / hCaptcha 集成痕迹，给出替换方案（脚本标签、
data-sitekey、后端校验 URL 与环境变量名逐项对照替换） - 安全边界写得极细：明确禁止把密钥落盘到用户自己的环境变量/密钥库之外的位置、禁止跳过校验步骤、禁止未展示 diff 就覆盖文件、禁止从浏览器直接调用 siteverify（必须经用户自己的后端中转，防止密钥暴露）、禁止未经询问就用
sudo或全局装包 - 既有组件恢复流程：若用户已有 Turnstile 组件，技能会走“读取现有配置→确认域名/清除级别→只补 siteverify 接线”的路径，不会重建组件破坏已部署的 sitekey
亮点：Cloudflare 官方一线基础设施厂商出品，且被镜像收录进官方产品文档页 developers.cloudflare.com/turnstile/spin（与本仓库内容保持 CI 同步）；子技能路径最近一次提交为 2026-07-09，与本报告日期相距不到两周，维护活跃；同仓库另有 10 个姊妹技能，覆盖 Cloudflare 平台的不同产品线。
3. 适用场景
所属分类：安全与合规
面向需要给网站表单（注册、登录、留言、联系表单等）接入机器人防护、但不想手动查文档拼接 API 调用与前后端代码的初中级开发者。尤其适合：从 reCAPTCHA/hCaptcha 迁移到 Turnstile 的场景（技能自动识别并给出替换方案）；已有 Cloudflare 账号、想用最小改动加固表单反垃圾能力的独立开发者与小团队。
4. 跨 Agent 兼容性
仓库 README 明确写明：“works with any agent that supports the Agent Skills standard, including Claude Code, OpenCode, OpenAI Codex, and Pi.”
- Claude Code：原生支持——README 提供插件市场安装命令
/plugin marketplace add cloudflare/skills+/plugin install cloudflare@cloudflare，官方文档页也单独给出.claude/skills/turnstile-spin/的直接下载命令 - Codex：原生支持——README 与官方文档页均明确列出 OpenAI Codex 及其技能目录路径
- OpenClaw：未验证——材料未提及；SKILL.md 采用通用 Agent Skills 标准格式，理论上可移植，但未见官方测试或适配声明
- Hermes Agent：未验证——同上，官方材料未提及
5. 推荐理由
给表单接入机器人防护是几乎每个上线产品都会遇到的需求，但真正做对（前端组件、后端 siteverify、密钥不落盘、域名白名单）需要查好几份文档、手写胶水代码，还容易在密钥处理上留安全隐患。这个官方技能把整套流程压缩成一次有确认点的自动化向导，并且把“密钥绝不进聊天记录、绝不从浏览器直调校验接口”这类安全实践直接写进了执行规范里，而不是留给开发者自己想起来做对。对于没有专职安全工程师、需要独立给产品加固表单防护的初中级开发者，这是目前能找到的官方背书最强、自动化程度最高的选择。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 8 | 官方一线基础设施厂商（Cloudflare）出品，且被镜像收录进官方产品文档页；所属合集仓库 2456 stars/228 forks，但该数字不单独归给本子技能；子技能自身被多个第三方 Agent Skills 目录（如 claudeskills.info、skillsmp.com、claudemarketplaces.com）独立收录，未找到 Reddit/HN 上的实质性独立讨论帖 |
| 可用性 | 9 | 官方文档页与 README 均提供一条命令直接安装；SKILL.md 与配套 scripts/references 文档详尽、含逐步骤对话脚本与边界情况处理表；子技能路径最近提交 2026-07-09，距本报告不足两周，维护活跃；实际使用需要一个 Cloudflare API Token（标准前置条件，非额外付费依赖） |
| 安全性 | 9 | 见下表 |
| 综合评分 | 8.7 | 三项均值 |
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ①Shell 命令执行范围 | 配套脚本（auth-probe.sh/widget-create.sh/fetch-secret.sh/validate.sh）仅调用 curl/wrangler 访问 api.cloudflare.com 官方接口完成组件创建与校验，范围明确、经抽查脚本源码确认与文档描述一致 |
| ②运行时联网外发 | 仅向 Cloudflare 官方 API 与 challenges.cloudflare.com 校验接口通信；组件写入的 data-action="turnstile-spin-v2" 标记用于 Cloudflare 官方账号级激活率统计，文档明确说明为聚合数据、不含个人信息，且可被用户移除而不影响功能 |
| ③API Key/凭据存储方式 | 明文写清三种交接方式（导出环境变量后重启、写入仅本人可读的文件、粘贴进对话且建议随后轮换），并明令密钥只能写入用户自己的 env/密钥库，不落盘到其他位置 |
| ④可疑指令/注入迹象 | 抓取的 SKILL.md 全文与两份脚本源码均未发现可疑指令；反而多处主动写明“不做什么”（不装全局包、不跳过校验、不覆盖文件前必须先出示 diff） |
| ⑤作者/组织信誉 | cloudflare 官方 GitHub 组织，一线基础设施服务商；提交历史含多名署名工程师协作，未见刷星或 SEO 操纵措辞 |
| ⑥License | Apache-2.0，明确（仓库级） |
| ⑦最近维护 | 子技能路径最后提交 2026-07-09；仓库整体 2026-07-13 仍有提交，维护活跃 |
7. 跟同类 Skills 相比的优势
机器人防护/验证码相关的技能定位差异：
| 名称 | 定位 | 与本技能的差异 |
|---|---|---|
| turnstile-spin-cloudflare-skills（本推荐） | 端到端自动化接入 Cloudflare Turnstile：建组件、改前后端代码、校验、可持久化复用 | 唯一做到“从一句话到可运行代码”全自动化的官方验证码接入技能 |
| hCaptcha Agent Skills for Docs（hCaptcha 官方） | 让 Agent 检索 hCaptcha 官方文档并引用来源 | 定位是“文档检索参考”，不自动创建组件、不改代码，集成仍需开发者手动完成 |
| TwoCaptcha Automation / Playwright Bot Bypass 一类技能 | 帮自动化脚本“解开”或绕过 reCAPTCHA/hCaptcha/Turnstile 等验证码 | 与本技能方向相反：这类是防护的“矛”（帮爬虫绕过验证码），本技能是防护的“盾”（帮网站主接入验证码） |
| cloudflare-cloudflare-skills（同仓库姊妹技能） | Cloudflare 全平台综合入口，含 WAF/DDoS 等安全能力的决策树导航 | 覆盖面更广但更浅，遇到 Turnstile 具体需求时会指向本技能这类专项技能，不做逐步骤自动化 |
8. 用户评价
该技能目前在第三方平台尚无具名开发者的独立使用评价；可查到的相关内容主要是多个第三方 Agent Skills 目录站点（如 claudeskills.info 的 Cloudflare 官方技能专区、skillsmp.com、claudemarketplaces.com）对该技能的收录页面，属目录收录而非用户评价。
9. 其他补充
cloudflare/skills是持续扩张的合集仓库，除本报告涉及的turnstile-spin外，还含 cloudflare、agents-sdk、wrangler、durable-objects、sandbox-sdk、web-perf、cloudflare-one 等 10 个姊妹技能；本报告的评估对象仅为 Turnstile 接入这一项- Cloudflare 官方产品文档站的 Turnstile 页面提供了一个“Fix with Spin”控制台入口，可一键生成对应的 Agent 提示词，是本技能在编辑器之外的等价触发入口
- 仓库当前 32 个 open issues，反馈渠道活跃
10. 安装使用方式
# Claude Code（插件市场，推荐，安装整个 Cloudflare 技能合集）
/plugin marketplace add cloudflare/skills
/plugin install cloudflare@cloudflare
# 仅安装本技能（官方镜像文件，直接下载）
mkdir -p .claude/skills/turnstile-spin && \
curl -sSL https://developers.cloudflare.com/turnstile/spin/prompt.md \
-o .claude/skills/turnstile-spin/SKILL.md
# npx skills CLI
npx skills add https://github.com/cloudflare/skills安装后无需重启，当对话中出现“加 Turnstile”“设置验证码”“防止表单被灌水”等意图时会自动加载。实际执行组件创建与校验需要用户提前准备一个具备 Account.Turnstile:Edit 权限的 Cloudflare API Token；技能会在向导第一步引导创建，不会替用户保管或上传该凭据。
11. 注意事项
- 该技能是
cloudflare/skills合集仓库中的一个子技能，其余姊妹技能各自独立，覆盖更细分场景需额外安装 - OpenClaw、Hermes Agent 兼容性未见官方材料佐证，如需使用建议自行验证
- 组件写入的
data-action="turnstile-spin-v2"属于 Cloudflare 官方账号级聚合统计标记，如对此有顾虑可手动移除，不影响验证功能本身 - 技能明确要求走“浏览器 → 用户自己的后端 → siteverify”的路径，不会额外部署 Worker/代理等基础设施；若站点是纯静态、没有任何后端处理位置，技能会如实告知无法接入并退出，而不是强行代为搭建后端