Cloudflare 新功能触发钓鱼恐慌
推荐指数 41.0 NO. 018 · 2026.08.05
发布2026/08/04Score92Comments28
为什么值得看
安全研究员 Eric Lawrence 发现 Cloudflare 新服务 Atmosphere 的授权流程存在严重设计缺陷：要求用户在第三方域名 cloudflare.pay 上登录并授权，界面与 OAuth 钓鱼攻击高度相似。这暴露了即使是顶级安全公司也可能在用户体验和安全设计之间做出危险妥协。
编辑判断
这个案例的讽刺之处在于，Cloudflare 本身就是反钓鱼和安全基础设施的标杆厂商，却栽在了最基础的域名信任链设计上。核心教训不是"Cloudflare 不安全"，而是安全产品的 onboarding 流程本身就是攻击面——攻击者完全可以克隆这个 exact 流程，用户几乎无法分辨真假。
对 AI 工程师的即时启示：如果你在做 AI Agent 或 MCP 工具链，需要用户授权第三方能力时，绝对不要把授权入口放在非主域名上。OpenAI 的 GPTs 授权、Claude 的 MCP 连接都面临同样的设计压力，这个案例会成为反面教材被反复引用。
建议立刻审计自己产品的授权链路：主域名是否一致、回调地址是否可伪造、用户能否在授权前验证请求方的真实身份。
社区反馈
负面 32 条评论
核心争论：顶级安全公司为何反复犯下与自身安全建议相悖的域名设计错误
相关内容
My main takeaway from this is not that "security is hard" but that cloudflare is pretty incompetent.
The takeaway is that everyone makes security hard. Everyone does this anti-pattern of having these other domains that defeat all their own security recommendations. GitHub for ages had something like githubnext.com where they would make you do this same OAuth dance (except IIRC it was worse - it exp
Another entry in "Marketing department starts a promotion campaign for the new product that's indistinguishable from a phishing attack" list. Starting with not using a subdomain on your own, very well-known domain but instead using a completely different one, then not having it shown with the rest o