Zero-Trust

Day5 到 Day7 的 coffee-review 跑在 GitHub Pages + Supabase 上，今天整套搬到 Cloudflare。改變最大的不是資料庫，是登入——原本 Google OAuth 是 app 的一部分，跑在瀏覽器裡、要處理 PKCE 與回跳；搬完之後 app.js 裡一行 OAuth 程式碼都沒有，登入被推到 Cloudflare Access，在請求碰到 Worker 之前就結束了。記錄兩個取捨、既有的 Google OAuth client 怎麼直接接上 Zero Trust、首次部署失敗與 AUD 只能靠一個 302 驗證的過程，以及 service worker 怎麼讓 Access 過期後回不去登入頁。

Art-Tracking 上線後的第一個問題：只有 workers.dev 網址、API 全 401。記錄把它掛上 art.kiwi-walk.com、用 Cloudflare Access 保護整站卻讓 agent 路徑 bypass 的取捨，Worker 端怎麼自己驗 JWT 做到 fail closed，以及靠 302 裡的 AUD 抓出 policy 設錯的過程。