mistripple/magi-code/magi-cloudflare-tunnel

配置 Cloudflare 命名隧道（固定公网地址）

你在协助用户给 Magi 的 MCP 服务配置一条 Cloudflare 命名隧道。默认的 Quick Tunnel 地址是随机的，Magi 一重启就失效；命名隧道用用户自己的域名，地址固定，网络模式保持开启时 Magi 重启后会自动恢复。

先说清楚边界

下面这些只能由用户本人完成，你不能代做，也不要尝试绕过：

• 注册 Cloudflare 账号、邮箱验证、人机验证（验证码）。
• 登录（用户名、密码、双重验证、Passkey）。绝不要替用户输入账号或密码。
• 添加付款方式（首次启用 Zero Trust 可能要求，免费套餐也可能要求）。
• 把域名交给 Cloudflare 托管（在域名注册商处修改 NS 记录）。
• 在令牌 / 连接器页面读取或复制隧道令牌。

你负责的是：带用户走完剩下的步骤，在内置浏览器里导航、点选和填写非机密的字段（隧道名称、域名、转发地址），并在每一步确认结果。

内置浏览器的控制权是独占的：用户在页面上真实输入或点击后，你的浏览器操作会被暂停（页面顶部显示“你正在操作 · Agent 已暂停”），不会自动恢复。每次请用户手动操作（登录、验证码、复制令牌）之后，都要等用户点浏览器面板的“交还控制”，你才能继续；被暂停时不要反复重试浏览器工具。

开始前先确认三件事

向用户确认，缺哪项就先停下来说明，不要自行推进：

1. 是否已有 Cloudflare 账号，且要使用的域名已经在 Cloudflare 上托管（域名状态为 Active）。没有的话，说明需要先完成这一步，并告知“继续使用临时地址”也是可行的，只是每次重启后要更新客户端配置。
2. 想用哪个域名，例如 mcp.example.com（必须是用户自己域名下的子域名，且与隧道在同一个 Cloudflare 账号里）。
3. Magi MCP 服务的本机端口：在 Magi 的 设置 → Magi MCP 服务的状态区可以看到“端口”。请用户把端口告诉你。必须是这个端口，否则隧道会指向错误的服务。

操作步骤

1. 用内置浏览器打开 https://one.dash.cloudflare.com。如果出现登录页或要求选择账号，停下来请用户自己完成；等用户说“好了”并点“交还控制”后再继续。
2. 如果提示创建 Zero Trust 团队、选择套餐或添加付款方式，请用户自己完成（期间同样需要用户点“交还控制”）；选免费套餐即可。
3. 进入 Networks → Tunnels（新版界面可能叫 Networks → Connectors → Cloudflare Tunnels，名称略有不同，按语义找）。
4. 点击创建隧道，类型选 Cloudflared，名称填 magi-mcp，保存。若提示该名称已存在，换一个名字即可（隧道名称不影响 Magi）。
5. 令牌页面要特别小心：保存隧道后会进入“安装并运行连接器”页面，显示一条带长令牌（以 eyJ 开头）的命令。

• 不要在这一页调用 `browser_snapshot`、`browser_read`、`browser_screenshot`：它们会把令牌文本带进你的上下文或会话记录；也不要截图、不要复制这条命令、不要往这一页的输入框里输入任何内容。
• 把页面交给用户：请用户自己点命令旁的复制按钮，先别关页面，也不要在本机执行这条命令（Magi 会负责运行隧道）。
• 请用户复制完令牌后自己点“下一步”离开令牌页，再点“交还控制”。
• 判断是否已经离开令牌页时不要用快照：用 browser_wait_for 等 URL 变化，或直接请用户确认。
• 如果令牌曾经出现在你的上下文、工具结果或回复里，立刻停止并告知用户：这个令牌要按已泄露处理，需要到 Cloudflare 删除并重建这条隧道，再替换 Magi 里的命名隧道令牌。不要在任何回复里复述令牌。

1. 在“公共主机名 / Public hostname”页面填写：

• 子域名与域名：用户选定的域名（如 mcp + example.com），路径留空。
• 服务类型：HTTP。
• URL：http://127.0.0.1:<端口>（用上面确认的端口；只填 127.0.0.1:<端口> 也可以）。
• 保存隧道。若提示该主机名已存在 DNS 记录，请用户确认是否要覆盖；不要自行删除别的记录。

1. 请用户回到 Magi：设置 → Magi MCP 服务 → “命名隧道”，粘贴域名和刚才复制的令牌（整条安装命令也可以直接粘贴），点保存。
2. 先确认令牌区里已经有一个有效且允许公网的令牌（没有就先创建，并让用户保存好原文），再请用户打开“网络模式”；等状态里显示隧道已就绪，最后点“检查连接”。

排查

“检查连接”的结果对应：

• 通过：公网地址已可用，在令牌卡片的“查看配置”里就能拿到使用这个固定地址的客户端配置。
• 请先开启网络模式：网络模式没开，或隧道还在启动；等状态里显示隧道已就绪再检查。
• 域名未解析：公共主机名没有保存成功，或域名还没在 Cloudflare 生效。回到隧道的“公共主机名”页确认。
• 隧道未连接：Magi 的网络模式没开，或令牌不对。请用户确认网络模式状态；令牌错误时设置页会提示“令牌无效”，需要重新复制。
• 源站不可达：公共主机名里的 URL 端口填错了。核对 Magi 状态区的端口。
• 其他结果：把设置页显示的提示原文告诉用户，不要自行猜测。

完成后

用几句话告诉用户：网络模式保持开启时，重启 Magi 会自动恢复这条固定地址；若以后要换域名或撤销，到同一位置修改或删除命名隧道即可。不要在回复里复述任何令牌。