Turnstile Spin арын шалгалтыг нөхнө: виджет дангаараа хамгаалалт биш

Cloudflare 2026 оны 9-р сарын 25-нд Turnstile Spin-ийн кодын агенттай урсгалыг танилцуулахдаа долдугаар сараас хойш удирдлагын самбараар 65 мянгаас олон Spin виджет үүсэж, агентын даалгаврыг 30 мянгаас олон удаа хуулсныг мэдээлэв. Энэ урсгал нь вэб маягтад харагдах Turnstile виджетийг байрлуулаад зогсохгүй, түүнээс ирсэн токеныг сайтын серверээс Siteverify-д шалгуулах кодыг агентын тусламжтай холбох зорилготой.

Ингэснээр өмнө нь зөвхөн виджет байрлуулсан суулгалтын дутуу арын хэсгийг нөхөх боломжтой болжээ. Fervor AI-ийн 9-р сарын 25-ны дүн шинжилгээ кодын агент өөрчлөлт хийсний дараа токеныг сервер үнэхээр шалгаж буйг ажиллаж байгаа хүсэлтээр турших хэрэгтэйг онцолсон. Виджет үүсгэсэн болон даалгавар хуулсан тоо нь серверийн баталгаажуулалт бүх сайт дээр бүрэн ажиллаж эхэлснийг хэмжихгүй.

Spin кодын агенттай юу хийдэг вэ

Spin нь Turnstile-ийн суулгалтыг кодын агенттай хамт гүйцэтгэх урсгал юм. Хэрэглэгч хамгаалах маягт эсвэл замаа сонгоход агент харагдах хэсгийн код, хүсэлт хүлээн авдаг серверийн боловсруулагч, өмнөх CAPTCHA-ийн ул мөрийг олно. Агент өөрчлөх хэсгүүдийн төлөвлөгөөг эхлээд танилцуулж, хэрэглэгч зөвшөөрсний дараа урд болон арын кодыг засна.

Хөтөч дэх виджет шалгалтын токен үүсгэнэ. Тэр токен маягтын өгөгдөлтэй хамт сайтын серверт очих бөгөөд сервер нууц түлхүүрээ ашиглан Siteverify рүү хүсэлт илгээнэ. Ирсэн хариунаас шалтгаалж маягтын үндсэн үйлдлийг үргэлжлүүлэх эсэхийг арын код шийднэ. Хэрэв хүсэлт хүлээн авах хаяг энэ хариуг огт шаардахгүй бол гаднаас тухайн хаяг руу шууд өгөгдөл илгээж болно.

Агент зөвшөөрсөн өөрчлөлтийг хэрэглэгчийн өөрийн кодын санд хийдэг; Spin програмын эх кодыг Cloudflare руу илгээж алсаас засдаггүй. Cloudflare талд шинээр үүсэх нөөц нь Turnstile виджет, харин баталгаажуулах дуудлага одоо байгаа серверийн орчинд байрлана. Spin сайтыг байршуулж өгдөггүй тул кодын санд нэмэгдсэн хамгаалалт үйлдвэрлэлийн хувилбарт автоматаар очихгүй.

Байгаа виджетийн дутуу холболтыг нөхөх нь

Turnstile виджет ажиллаж байсан ч түүнд харгалзах Siteverify дуудлага байхгүй бол Cloudflare-ийн самбарт “Fix with Spin” сонголт гарна. Самбар виджетэд тохирох баталгаажуулах хүсэлт ирж байгаа эсэхийг ажигладаг. Энэ сонголтыг ашиглахад агент өмнөх sitekey-ийг хэвээр үлдээж, түүнд тохирох нууц түлхүүрийг серверийн зөв орчинд холбох, хамгаалах хүсэлтийн боловсруулагчид шалгалт нэмэх төлөвлөгөө боловсруулна.

Самбарт ийм сануулга гараагүй үед ч байгаа виджетийн sitekey-ээр нөхөн суулгах урсгалыг кодын агентаас эхлүүлж болно. Харин сануулга арилсан эсэх нь тодорхой маягтын бүх зам зөв хаагдсаны хэмжүүр биш. Бодит ялгаа нь токенгүй эсвэл хүчингүй токентой хүсэлт серверийн үндсэн үйлдэлд хүрэхээс өмнө зогсож байгаа эсэхэд харагдана.

Нөхөн засварын үед хэрэглэгчээс нууц түлхүүрийг яг аль серверийн орчин, нууцын санд байрлуулахыг батлуулах шаардлагатай. Агент түлхүүрийг чат, командын аргумент, түр файл эсвэл бүртгэлд хэвлэхгүй байх ёстой. Ингэснээр ил байгаа sitekey-ийг нууц түлхүүртэй андуурч браузерт гаргах эрсдэлийг бууруулна.

Шинэ суулгалт ба CAPTCHA-аас шилжих нь

Turnstile огт суулгаагүй төсөлд агент шинэ виджет үүсгэж, сонгосон маягтад байрлуулаад серверийн боловсруулагчид Siteverify дуудлага нэмнэ. Урсгалыг Cloudflare-ийн самбар, Wrangler тушаалын мөр эсвэл кодын агентаас эхлүүлж болно. Самбар sitekey, нууц түлхүүр болон агентын даалгаврыг тус тус өгдөг; Wrangler-ээр виджет үүсгэвэл харагдах болон арын кодыг гараар холбох боломжтой. Эдгээр зам ижил Turnstile виджетэд хүрдэг ч код өөрчлөх ажлыг хэрхэн эхлүүлэхээрээ ялгаатай.

reCAPTCHA эсвэл hCaptcha байгаа төсөлд агент хуучин скрипт, виджетийн тэмдэглэгээ болон серверийн шалгалтыг олж, солих төлөвлөгөө танилцуулна. Дараа нь шинэ sitekey-ийг маягтад, нууц түлхүүрийг серверийн орчинд байрлуулж, баталгаажуулах хүсэлтийг Turnstile-ийн Siteverify хаяг руу чиглүүлнэ. Хуучин үйлчилгээний серверийн шийдвэр хэвээр үлдвэл харагдах виджетийг солих нь бүрэн шилжилт болохгүй.

reCAPTCHA v3 ашигладаг кодод онооны босгыг шууд хуулж болохгүй: Turnstile ижил төрлийн оноо буцаадаггүй. Ийм босгод түшиглэсэн зөвшөөрөх эсвэл татгалзах нөхцөлийг Siteverify-ийн амжилтын хариунд нийцүүлэн тусад нь өөрчилнө. reCAPTCHA Enterprise-ийг Spin-ийн автомат шилжилтийн хүрээнд оруулаагүй тул тэр тохиолдолд шилжилтийн өөр заавар хэрэгтэй.

Siteverify-ийн шийдвэрт юу багтах вэ

Cloudflare-ийн Spin заавар сервер зөвхөн Siteverify-ийн success утгыг харах бус, буцаж ирсэн action нь хамгаалж буй үйлдэлтэй, hostname нь тухайн байршуулалтын зөвшөөрсөн хаягтай таарахыг шаардана. Ингэснээр өөр маягт эсвэл өөр хостоос авсан хүчинтэй токеныг энэ хүсэлтэд андуурч зөвшөөрөхөөс сэргийлнэ. Үйлдвэрлэлийн орчны зөвшөөрсөн hostname дотор localhost эсвэл 127.0.0.1 үлдэх ёсгүй.

• Нууц түлхүүр серверийн орчны хувьсагч эсвэл нууцын санд хадгалагдана. Агентын prompt-д sitekey болон зааврын хаяг орж болох ч нууц түлхүүр орохгүй.
• Сервер маягтаас ирсэн токен болон нууц түлхүүрийг Siteverify рүү илгээж, хариу алга, алдаатай эсвэл success худал бол хамгаалж буй үйлдлийг гүйцэтгэхгүй.
• Сервер success дээр нэмээд хүлээсэн action, зөвшөөрсөн hostname-ийг тулгана. Ижил токены давтан хэрэглээ татгалзагдах ёстой.
• Агентын өөрчлөлтийг шинэ токентой хэвийн хүсэлт, токенгүй хүсэлт болон давтан хэрэглэсэн токеноор туршина.

Turnstile-ийн токен нэг удаа хэрэглэгддэг тул нэг хүсэлтээр амжилттай шалгуулсан токеныг дахин илгээхэд Siteverify татгалзана. Маягт хүсэлтээс хойш хуудсан дээрээ үлддэг бол дараагийн оролдлогод шинэ токен авахын тулд виджетийг дахин тохируулах шаардлага гарна. Энэ нь хэрэглэгчид маягтаа дахин илгээх боломж олгох болон өмнөх токеныг санамсаргүй дахин ашиглахаас хамгаалах хоёр зорилготой.

Spin кодыг өөрчилсний дараа агент арын хүсэлтийг ажиллуулж туршиж чадаагүй бол баталгаажуулалтыг дуусаагүй гэж тэмдэглэх ёстой. Ийм тохиолдолд самбарт виджет харагдаж, кодын санд өөрчлөлт орсон байсан ч хамгаалалт ажиллаж буй эсэх нь тодорхойгүй үлдэнэ.

Мөн уншаарай:

• AI агентыг prompt injection-оос хамгаалах нь: prompt дангаараа хүрэлцэхгүй
• n8n эсвэл Make: сарын үнэ биш, алхам тоолох арга нь сонголтыг шийднэ
• Grok 4.7 хямд хэвээр үлдэв: урт кодчиллын үр дүн жигд биш