Secrets
真实上游 API Key 和管理员密码应保存在 Cloudflare Secrets，避免放入源码或公开 vars。
SECURITY / 05
部署前的安全须知
项目适合学习、自托管与小规模使用。将公开提供的代理服务部署到生产环境前，建议先完成进一步的安全加固。
密钥与登录
后台会话
仓库 README 指出当前管理登录会在页面脚本中包含用户名与密码；建议改造为 Cookie Session，增加 CSRF 防护与严格认证。
注册与数据
验证码与激活
当前验证码仅做长度校验，并非真正验证码；安全性依赖激活码及外部邮件验证 Worker。
状态查询
注册状态查询仅依邮箱进行，公开服务建议加入限速与临时 token。
HTML 转义
后台输出用户或知识库文本时未完整转义，处理不可信内容前应修复。
知识库隐私与扩展
知识上下文
D1 知识文本可能被整体发送给第三方检索上游，避免录入敏感数据并告知使用者。
性能边界
大知识库应使用分页、粗筛或真正的向量召回，避免每次读取全部内容。
使用许可
项目采用 Apache-2.0 许可证，详情以仓库 LICENSE 为准。
内容依据 cfRelay 主分支 README 整理。涉及部署时，请以源代码为最终依据。查看完整 README ↗