Cloudflare 人称赛博菩萨，免费无限流量也确实大方，但真拿它当标准 CDN 用，还是有点坑要踩的。 第一是缓存不可控。免费层缓存极度依赖访问热度，哪怕设置了一年不过期，只要几天没人请求，边缘节点立刻删除，照样会回源。 第二是延迟波动大。热门文件几十毫秒，冷门文件经常跑到 150 到 300ms，因为非热点资源不会全网同步。 第三是缺少 Origin Shield 机制。它没办法把全球回源请求收拢到中间聚合节点，冷数据每次都直接打回你的源站。 给个人站套一层做安全和基础加速很省心；但指望拿它当低延迟分发管道挡存储桶账单，源站很容易被穿透，所以要注意这里面的坑。

#Cloudflare# 已经监测到数百万次针对 PHP 漏洞的攻击尝试，仅靠 WAF 规则还不够，最终还是要升级 PHP。 Cloudflare CEO 马修发布消息称，在漏洞披露前 10 小时，观测到数千次攻击尝试，漏洞披露 45 分钟攻击尝试就达到数万次。 现在这些攻击尝试已经超过百万次，对使用 PHP 的网站来说，最终还是要尽快升级到不受影响的版本。 查看全文：

Cloudflare 团队把其内部找漏洞的那套方法做成了一个 Skill，叫 security-audit，并开源了。 装进编码 Agent 就能对自己的代码库跑一次正经的安全审计，已斩获 11000+ Star！ 流程分 6 个阶段，先摸清架构和信任边界，再派出多个独立的 Agent 分片去找，每个候选漏洞交给一个新的 Agent 专门去推翻它。 GitHub： 它的规矩是找到的那个 Agent 不能自己验，验证阶段的目标就是证明这条不成立，最后只有三种结论，确认、待核实、已排除。 待核实的会写清卡在哪个具体事实上，不给严重程度。少了一层防护但另一层挡得住的，只算加固建议，不算漏洞。 产出是一份主报告加一份逐条细节，每条确认的都能追溯到源码位置。 Cloudflare 博客说这就是他们内部漏洞发现系统的起点，多跑几次结果会叠加，他们自己测下来单跑一次大概只能找到一半。 用法就一句「security audit this codebase」，在自己有权限审的代码库上跑，把结果当一份第二意见看，我觉得比裸问 Agent 靠谱得多。

Cloudflare 开源了一个 security audit skill，挺值得研究一下。 我看了下它的 6 阶段审查，整个流程约束很严。 里面有个设计很好：找漏洞和验证漏洞，必须是不同 Agent。 做 Agent Harness 的可以抄不少东西。

CloddsBot 这个开源项目最近在 GitHub 上很火，作者是在一场 Agent 黑客松花费 12 天时间做出来的。 一个跑在自己电脑上的 AI 交易终端，底层用的是 Claude，用聊天的方式就能看盘和下单。 覆盖 10 家预测市场、7 家合约交易所，外加 Solana 和 5 条 EVM 链上的去中心化交易所。 支持接入 Telegram、Discord、WhatsApp、Slack 等社交渠道。 GitHub： 内置 118 种策略，鲸鱼地址追踪、跟单、定投机器人都有，风控带熔断、每日亏损上限和一键停机。 还有 121 个 Skill，也能当 MCP 工具挂在 Claude Desktop 和 Claude Code 使用。

#Cloudflare# Workers 放宽代码体积限制，免费和付费套餐均提高至 64MiB。 以前免费套餐最多 3MB、付费套餐最多 10MB，超过限制将无法正常部署。 新规则改成检查未压缩的 Bundle 体积，都是 64MiB，GZIP 压缩体积作为参考信息显示，不再决定能否部署。 查看全文：

CloudCone 纯小丑，我的 VPS 过期后，想点一下实例的 Manage 按钮进去看看状态，结果直接 404。付钱续费后，挂起的实例瞬间就激活了，再点 Manage 也好了，但是没过几分钟就又挂起了，原因是「账单未支付」。🤡