Cloudflare 宣布 OAuth 全面解禁，AI Agent 開發者不再需要手動審核

Cloudflare 宣布對所有開發者開放自管式 OAuth，不再要求手動審核入駐。背後是 AI 代理工具（AI Agent）對授權委派需求的爆炸性增長，以及一場涉及 1.3 億筆資料列遷移的底層引擎世代替換。
（前情提要：Cloudflare 數據：網路上 34% 的流量不是人類、AI 爬蟲正以 8 倍速度長大）
（背景補充：瑞銀、TD Cowen 同日上調 Arm 目標價到 475 鎂，理由是自研CPU未來營收）

本文目錄

Toggle

為什麼現在開放？
一次涉及 1.3 億筆資料列的底層引擎替換
MCP 用戶端的 refresh token 連鎖失效問題

管理著全球 20% 網路流量的 Cloudflare，在本週做了一個關鍵的決定：讓所有開發者都能自行建立和管理 OAuth 用戶端，不再需要逐一手動審核入駐。這件事背後的驅動力是 AI 代理工具對「委派授權」的龐大需求。當 AI 模型需要代替用戶存取 Cloudflare 資源時，過去只能依賴 API token，這種方式難以管理，也不適合需要明確同意範圍的代理工作流程。

為什麼現在開放？

Cloudflare 並非 OAuth 新手。早在開發者使用 Wrangler CLI 工具或串接 PlanetScale 等合作夥伴服務時，OAuth 就已在背景靜默運作。但這些整合都是「手動入駐」的封閉模式，第三方開發者根本無法自行建立標準 OAuth 流程。

Cloudflare 在官方部落格中指出，過去一年他們已逐步引進早期合作夥伴，持續完善同意機制、撤銷流程與安全模型。但隨著開發者平台規模擴大，加上 AI 代理工具對委派存取的需求急速上升，「向所有用戶開放 OAuth」成為平台成功的必要條件，而非可選項。

自管式 OAuth 讓開發者能提供標準的授權流程：用戶直接授予有範圍限制的存取權，應用程式可以知道自己被允許做什麼、用戶也可以隨時撤銷。這對於建構 SaaS 整合、內部開發者平台，以及各類 AI 代理工具而言，是比 API token 更乾淨的基礎架構。

一次涉及 1.3 億筆資料列的底層引擎替換

然而，要讓 OAuth 規模化開放，Cloudflare 必須先解決一個工程問題：底層授權引擎 Hydra 已不堪重負。

Hydra 是一套開源 OAuth 引擎，Cloudflare 多年前部署它來支撐平台的 OAuth 基礎設施。在用量有限的時期表現穩定，但隨著開發者平台擴張與 AI 工作流程普及，原版 Hydra 的效能瓶頸與功能限制越來越明顯。

升級計畫分為兩個階段展開。第一階段是 Hydra 1.X 版本升級，工程師發現即使只是小版本遷移，資料庫的結構變更規模也不可小覷，他們重寫了 SQL 遷移指令碼，改用 CREATE INDEX CONCURRENTLY 等不鎖定寫入的技術，並自訂了 Hydra 的建置版本，以明確指定欄位取代原本的 SELECT * 查詢，降低不必要的資料傳輸。

第二階段是 Hydra 2.X 的藍綠部署（blue-green deployment）。所謂藍綠部署，是指同時維持新舊兩套系統執行，流量在確認新系統穩定後才逐步切換，任何時刻都可以即時回滾，把系統中斷的風險壓到接近零。Cloudflare 表示，在這個框架下他們建立了一套基於 Cloudflare Queues 的佇列系統，讓撤銷事件能在新舊系統之間正確同步。

整個資料庫遷移的規模相當可觀：共更新了 1.325 億筆資料列、插入 1.147 億筆新資料列，產生 136.97 GB 的暫存資料。

MCP 用戶端的 refresh token 連鎖失效問題

藍綠切換完成後，監控資料出現了一個不預期的訊號：refresh token 錯誤率上升。

追查原因後發現，新版 Hydra 對 refresh token 的重複使用採取了更嚴格的失效機制，一旦偵測到同一個 refresh token 被重複使用，整組存取憑證（access token 和 refresh token）都會被一併撤銷。

這對 Wrangler 和 MCP 用戶端造成問題，因為這類工具在網路不穩定或並發請求的情境下，本來就可能觸發 refresh token 的重複使用。

解法是在路由 OAuth 流量的 Worker 中加入「refresh token 合併機制：當偵測到多個針對同一 token 的更新請求同時湧入時，系統合併為單一請求處理，避免觸發連鎖失效邏輯。這個修補讓 MCP 用戶端的整合行為回到正常狀態。

這段插曲也揭示了一個現實：AI 代理工具的授權行為模式，和傳統人工操作的 OAuth 流程存在結構性差異。代理工具可能在短時間內發出大量並發的 token 更新請求，而傳統 OAuth 實作並未針對這種使用情境設計。

升級完成後，各項效能指標的改善幅度頗為顯著。API P95 延遲從 185 毫秒降至 101 毫秒，降幅達 45%；記憶體常駐佔用從 888MB 降至 763MB，縮減 14%；Go heap 記憶體配置從 449MB 降至 271MB，減少 40%；Goroutine 數量從 4,015 個降至 3,076 個，減少 23%；CPU 用量從 1.07 核降至 0.67 核，節省 37%。

Cloudflare 表示，自管式 OAuth 的開放，讓開發者得以建構用戶同意範圍更透明、撤銷更容易的整合方案，這對於 AI 代理工具的生態系健康尤為重要。當 AI 模型代替人類操作服務，「這個代理被授權做什麼」和「如何撤銷它的存取」，會是信任框架中不可迴避的問題。