Serwer Crunu na Cloudflare Workers i D1

Co Crunu robi na Cloudflare

Crunu działa w chmurze na app.crunu.com, więc na start nie musisz niczego wdrażać. Jeśli chcesz mieć własny serwer bez zarządzania maszyną, serwer Crunu ma wersję dla Cloudflare Workers, która przechowuje dane w D1.

Na Workers serwer, jak wszędzie, nie może odczytać wartości: D1 zawiera zaszyfrowane dane, klucze publiczne, podpisane dokumenty i metadane, nigdy klucz, który odszyfrowałby wartość.

Wdrożenie

Potrzebujesz Node.js 24, wrangler po wykonaniu wrangler login i pliku .env utworzonego przez server-init. Polecenia uruchamia się z katalogu serwera Crunu, w którym są skrypty wdrożeniowe.

node scripts/server-init.mjs --origin https://vault.company.example
sh deploy/cloudflare/deploy.sh --name vault-company --location weur

Skrypt sprawdza .env tym samym kodem, którego serwer używa przy starcie, buduje Workera, tworzy bazę D1 vault-company-db, jeśli nie istnieje, i wdraża Workera razem z jego sekretami jako jedną wersję. Kod i klucze zmieniają się w tej samej chwili, a jeśli wdrożenie się nie powiedzie, na Workerze nic się nie zmienia. Migracje schematu działają przy pierwszym żądaniu.

Żeby zbudować i obejrzeć to, co zostałoby wdrożone, bez wdrażania, dodaj --build-only. Skrypt wypisuje odcisk kompilacji i nazwy sekretów, które by wysłał, a potem się zatrzymuje. Kompilacja jest powtarzalna, więc to samo polecenie bez flagi wdraża dokładnie to, co obejrzano.

Podłącz własną domenę do Workera w panelu Cloudflare i użyj jej jako PUBLIC_ORIGIN serwera. Czyszczenie wygasłych sesji i przycinanie dziennika audytu uruchamia wyzwalacz cron co 5 minut.

Wybór właściwego planu

Ustawienia do sprawdzenia po wdrożeniu

• Kompresja odpowiedzi API. Worker odpowiada na /v2/* bez kompresji, żeby rozmiary odpowiedzi niczego nie zdradzały. Uruchom doctor dla swojej domeny. Jeśli zgłosi kompresję, dodaj regułę Compression Rule, która wyłącza kompresję dla ścieżek zaczynających się od /v2/.
• Adresy podglądu. Każda wgrana wersja Workera może mieć własny adres workers.dev, który działa z tą samą bazą danych i sekretami. Szablon Crunu wyłącza adresy podglądu, a skrypt wdrożeniowy wyłącza je też dla starszych wersji Workera. Nie włączaj ich z powrotem.
• Pseudo IPv4. Na potrzeby ograniczeń sieciowych zostaw ustawienie Pseudo IPv4 strefy wyłączone albo w trybie Add header. W trybie Overwrite headers klienci IPv6 pojawiają się pod zastępczymi adresami i nie pasują do reguł IPv6.

node scripts/doctor.mjs https://vault.company.example

Cloudflare Tunnel dla własnej maszyny

Jeśli wolisz uruchomić serwer na własnej maszynie, Cloudflare Tunnel opublikuje go bez otwartych portów. Ta konfiguracja jest częścią integracji z Dockerem.

Sekrety Cloudflare dla twoich aplikacji

Crunu nie ma wbudowanej synchronizacji z sekretami Cloudflare. Jeśli twój Worker trzyma wartości w Cloudflare, potok może je tam przesłać własnym CLI Cloudflare uruchomionym przez crunu run, z tokenem production powiązanym przez OIDC z gałęzią main i środowiskiem wdrożenia production. Każde uruchomienie pojawia się w dzienniku audytu Crunu. Strona o Vercel pokazuje ten wzorzec na konkretnym poleceniu.

Zobacz także

• Własny hosting
• Cloudflare Workers w dokumentacji
• Przenoszenie między platformami
• GitHub Actions