Support Cloudflare Access for AI endpoint

Author: zijian-z

README.md

@@ -78,6 +78,7 @@ https://rss-reader-proxy.<你的 workers.dev 子域>.workers.dev/rss?url={url}
 Worker 配置在 `wrangler.jsonc`：
 
 - `ALLOW_ORIGIN`：建议生产环境改成你的前端地址，例如 `https://zijian-z.github.io` 或你的 Pages 地址。
+- `ALLOW_CREDENTIALS`：默认 `false`。如果 AI 接口使用 Cloudflare Access Cookie 鉴权，需要设为 `true`，同时 `ALLOW_ORIGIN` 必须是明确的前端 Origin，不能是 `*`。
 - `ALLOWED_HOSTS`：留空表示允许代理所有 http/https RSS 地址；如果要限制来源，可填逗号分隔的主机名。
 - `MAX_BYTES`：最大响应体字节数，默认 `8388608`。
 - `AI_BASE_URL`：OpenAI 兼容接口的 base URL，默认 `https://api.openai.com/v1`。
@@ -97,6 +98,17 @@ npx wrangler secret put AI_API_KEY
 https://api.plunox.site/ai/responses
 ```
 
+如果只想保护 AI 接口，建议在 Cloudflare Zero Trust 里给 `api.plunox.site/ai/*` 创建 Access 应用，并把 `/rss` 留在 Access 之外。前端设置里的“AI 鉴权”选择 `Cloudflare Access` 后，AI 请求会携带 Access 登录 Cookie；RSS 代理请求不会携带鉴权。
+
+使用 Cloudflare Access 时还需要在 Access 应用中配置 CORS：
+
+- Origin 填前端地址，例如 `https://zijian-z.github.io`。
+- Methods 至少包含 `POST` 和 `OPTIONS`。
+- Headers 至少包含 `content-type`。
+- 允许 credentials。
+
+首次使用前，可以先打开 `https://api.plunox.site/ai/health` 完成 Access 登录；登录成功后再回到阅读器使用 AI 按钮。
+
 ## 配置同步
 
 设置里的“导出配置 JSON”只导出阅读设置、文件夹和订阅地址，不包含文章内容、已读状态、星标状态或本地缓存。

server/proxy.js

@@ -23,6 +23,10 @@ export async function handleProxyRequest(request, env = {}) {
     return jsonResponse({ ok: true }, 200, config);
   }
 
+  if (requestUrl.pathname === "/ai/health") {
+    return jsonResponse({ ok: true, ai: true }, 200, config);
+  }
+
   if (requestUrl.pathname === "/ai/responses") {
     return handleAiRequest(request, config);
   }
@@ -126,6 +130,7 @@ export function readProxyConfig(env = {}) {
   return {
     env,
     allowOrigin: String(env.ALLOW_ORIGIN || "*"),
+    allowCredentials: isTruthy(env.ALLOW_CREDENTIALS),
     allowedHosts: parseAllowedHosts(env.ALLOWED_HOSTS || ""),
     maxBytes: positiveNumber(env.MAX_BYTES, DEFAULT_MAX_BYTES),
   };
@@ -230,13 +235,23 @@ function positiveNumber(value, fallback) {
   return Number.isFinite(parsed) && parsed > 0 ? parsed : fallback;
 }
 
+function isTruthy(value) {
+  return ["1", "true", "yes", "on"].includes(String(value || "").trim().toLowerCase());
+}
+
 function corsHeaders(config) {
-  return {
+  const headers = {
     "access-control-allow-origin": config.allowOrigin,
     "access-control-allow-methods": "GET, POST, OPTIONS",
     "access-control-allow-headers": "content-type",
     vary: "origin",
   };
+
+  if (config.allowCredentials && config.allowOrigin !== "*") {
+    headers["access-control-allow-credentials"] = "true";
+  }
+
+  return headers;
 }
 
 function jsonResponse(payload, status, config) {

src/App.jsx

@@ -350,8 +350,9 @@ function App() {
     setAiStatus({ articleId: article.id, message: "" });
 
     try {
+      const config = libraryRef.current.config;
       const contentText = stripHtml(article.content || article.excerpt || "").slice(0, 24000);
-      const response = await fetch(validateAiWorkerUrl(libraryRef.current.config.aiWorkerUrl), {
+      const requestOptions = {
         method: "POST",
         headers: {
           "content-type": "application/json",
@@ -363,7 +364,13 @@ function App() {
           url: article.link,
           content: contentText || article.title,
         }),
-      });
+      };
+
+      if (config.aiAuthMode === "cloudflareAccess") {
+        requestOptions.credentials = "include";
+      }
+
+      const response = await fetch(validateAiWorkerUrl(config.aiWorkerUrl), requestOptions);
 
       const payload = await response.json().catch(() => ({}));
 
@@ -1408,6 +1415,19 @@ function SettingsDialog({
               type="url"
             />
           </label>
+          <label>
+            <span>AI 鉴权</span>
+            <select
+              value={config.aiAuthMode || "none"}
+              onChange={(event) => onConfigChange({ aiAuthMode: event.target.value })}
+            >
+              <option value="none">不使用鉴权</option>
+              <option value="cloudflareAccess">Cloudflare Access</option>
+            </select>
+            <small className="field-note">
+              使用 Cloudflare Access 时，AI 请求会携带 Access 登录 Cookie；RSS 代理仍保持公开。
+            </small>
+          </label>
         </section>
 
         <section className="settings-section reader-settings-section">

src/lib/library.js

@@ -18,6 +18,7 @@ export const DEFAULT_CONFIG = {
   density: "comfortable",
   proxyTemplate: DEFAULT_PROXY_TEMPLATE,
   aiWorkerUrl: DEFAULT_AI_WORKER_URL,
+  aiAuthMode: "none",
 };
 
 export function createDefaultLibrary() {

wrangler.jsonc

@@ -5,6 +5,7 @@
   "workers_dev": true,
   "vars": {
     "ALLOW_ORIGIN": "*",
+    "ALLOW_CREDENTIALS": "false",
     "ALLOWED_HOSTS": "",
     "MAX_BYTES": "8388608",
     "AI_BASE_URL": "https://api.openai.com/v1",