Cloudflare 推出 Turnstile Spin：用 AI 代理补全网站验证配置
背景：只装前端组件并不等于完成验证
Cloudflare 的 Turnstile 是一种面向网站的验证机制，定位为隐私优先的客户端挑战方案。它可以免费使用，也不要求网站流量必须经过 Cloudflare 代理，并且不会要求访问者解谜。
不过，Turnstile 的正确接入并不是只在页面上放一个小组件。完整流程通常包含两步：
- 前端渲染 Turnstile 组件：Cloudflare 在客户端执行挑战，并向页面返回一个 token。
- 后端调用 Siteverify API：网站后端将 token 发送给 Siteverify 进行校验，再根据返回结果决定是否允许登录、提交表单或继续执行其他敏感操作。
如果开发者只完成了第一步，没有在后端验证 token，网站仍可能暴露在自动化滥用和机器人攻击之下。
Turnstile Spin 是什么
Turnstile Spin 是 Cloudflare 新推出的一个面向 AI 编码代理的 Turnstile 接入流程。它的目标是把原本需要开发者手动完成的前后端集成，转换成由 AI 编码代理辅助执行的引导式工作流。
用户可以指定需要保护的位置，AI 代理会在代码库中查找相关的前端和后端代码，提出修改计划，并在用户批准后完成集成。这样，即使不熟悉后端开发的用户，也有机会完成正确配置；有经验的开发者也可以减少重复工作，并避免遗漏后端校验步骤。
Cloudflare 表示，Spin 不会把应用代码发送给 Cloudflare，也不会由 Cloudflare 远程修改代码。实际修改由用户正在使用的 AI 编码工具完成，例如 Claude Code、Cursor、Codex 或其他代理。Cloudflare 账户中新增加的资源主要是 Turnstile widget；验证逻辑仍保留在用户自己的后端应用中。
支持的三类场景
Turnstile Spin 会根据代码库状态适配不同情况，主要包括三类：
1. 全新安装
如果网站尚未配置 CAPTCHA 或 Turnstile，AI 代理会从头开始：
- 在前端嵌入 Turnstile 组件；
- 在后端接入 Siteverify 校验；
- 将验证结果与登录、表单提交等业务逻辑关联起来。
2. 修复不完整配置
Cloudflare 会监测每个 Turnstile widget 的 Siteverify 调用情况。如果某个 widget 已经产生流量，但没有后端服务端验证，控制台中会出现 “Fix with Spin” 操作。
在这种情况下，Spin 会使用现有 secret，在后端补上缺失的 Siteverify 校验步骤，同时让当前 widget 继续服务流量。
3. 从其他 CAPTCHA 迁移
如果代码中已有其他 CAPTCHA 方案，AI 代理会识别相关标记，提出替换计划，并在用户确认后执行迁移。已有文档仍会覆盖不同工具的具体迁移细节。
为什么面向 AI 编码代理
Cloudflare 认为，Web 应用的开发方式正在变化。过去，开发者通常手写前端界面和后端逻辑；如今，AI 编码代理让更多人可以快速生成可运行的网站。
这种变化带来便利，也放大了安全配置遗漏的风险：很多通过提示词生成的网站可能能运行，但未必完成了必要的服务端验证。Turnstile Spin 的设计，就是让安全接入流程更适合 AI 辅助开发环境。
使用方式与早期数据
Turnstile Spin 可以从 Cloudflare 控制台、Cloudflare Wrangler，或直接在 AI 代理中使用公开 skill 启动。常见流程是先从控制台开始，再把生成的提示词交给 AI 编码代理，由其配合 Wrangler 完成后续步骤。
Cloudflare 披露，Turnstile 在一个典型工作日约处理 30 亿次验证；在最近某一周中，有超过 23,000 个账户在控制台创建了新的 widget。
Spin 自 7 月发布以来，控制台已记录超过 65,000 次成功的 Spin widget 创建，开发者复制生成提示词的次数超过 30,000 次。
小结
Turnstile Spin 解决的是一个常见但容易被忽视的问题：前端验证组件安装了，并不代表安全校验已经完成。对于使用 AI 代理快速搭建网站的开发者来说，它可以帮助补齐后端 Siteverify 校验，降低错误配置带来的风险。
它并不是替代开发者审查安全逻辑的工具，而是把 Turnstile 的正确接入步骤变成更容易执行、也更不容易遗漏的工作流。