---
title: "安全设置"
image: "https://cwd.js.org/icon.png"
---

> Documentation Index
> Fetch the complete documentation index at: https://cwd.js.org/llms.txt
> Use this file to discover all available pages before exploring further.

# 安全设置

### Cloudflare Turnstile

配置 `TURNSTILE_SITE_KEY` 和 `TURNSTILE_SECRET_KEY` 后，新评论和回复都必须先通过 Turnstile 人机验证。验证码 token 会由 Worker 调用 Siteverify 接口校验，同时检查固定动作 `comment`；可通过 `TURNSTILE_ALLOWED_HOSTNAMES` 进一步限制 token 的来源域名。只配置站点密钥不会启用验证。

密钥的申请与配置步骤见[人机验证 Turnstile](/guide/turnstile)。

### 管理员评论密钥

设置管理员评论密钥后，博主在前台使用管理员邮箱发表评论时，需要先输入正确的密钥进行身份验证。验证通过的评论将直接视为已审核，通过「先审核再显示」的限制；未通过验证时，无法使用管理员邮箱发表评论，从而降低管理员邮箱被他人冒用或滥用的风险。

**注意**：

- 同一 IP 连续验证失败 3 次后，将触发风控并锁定该 IP 30 分钟，在此期间无法继续尝试管理员密钥验证；
- 失败次数的统计有效期为 1 小时，超过 1 小时未再尝试会自动清零。

### 允许调用的域名

多个域名用逗号或换行分隔，留空表示不做限制。配置后，仅当当前访问页面的域名在列表中（或为列表中域名的子域名）时，前台评论组件才会正常加载；否则组件会提示“当前域名未获得调用授权”。

### 新评论是否审核后再显示

开启后，普通用户提交的新评论默认状态为“待审核”，需在后台审核通过后才会显示在评论列表和前台页面中；关闭时，新评论将在通过基础校验后直接公开展示。通过管理员密钥验证的评论不受此开关限制。

### IP 黑名单

支持多个 IP，用逗号或换行分隔，留空表示不限制。匹配到的 IP 在提交评论时会被直接拒绝，并提示“当前 IP 已被限制评论”，适合用于临时封禁恶意刷评或攻击来源。

### 邮箱黑名单

支持多个邮箱，用逗号或换行分隔，留空表示不限制。匹配到的邮箱在提交评论时会被直接拒绝，并提示“当前邮箱已被限制评论”，适合用于屏蔽垃圾邮箱或可疑机器人账号。

Source: https://cwd.js.org/function/security-settings/index.mdx