权限与访问

三层权限

层	控制位置	说明
查看	Cloudflare Access	只有通过邮箱或 GitHub 登录的人能打开站点
编辑	GitHub 仓库权限	有 write 权限才能推送；Pages CMS 继承 GitHub 权限
发布	自动构建	推送到 main 即发布；PR 只生成预览

查看权限

站点前面挂了一个 Cloudflare Access 应用：

• 登录方式：邮箱一次性验证码、Google、GitHub
• 默认策略：只允许 @axvoa.com 邮箱，或 Axvoa GitHub Organization 成员
• 会话时长：24 小时

需要给外部顾问开放时，在 Access 里新增一条 Policy 指定邮箱，不要修改默认策略。

编辑权限

• 日常编辑：加入 GitHub Organization 的 wiki-editors team，给仓库 write 权限
• 审核发布：wiki-maintainers team 给 maintain 或 admin 权限
• 只读：不需要 GitHub 权限，只给 Access 访问即可

按目录隔离

如果某个目录只给少数人看，可以在 Access 里加一条按路径的 Policy。例如 /internal/* 只允许 wiki-internal 组，Quartz 会把它构建成 /internal/...，Access 在边缘拦截。

不要只依赖“隐藏页面”

Quartz 的 draft 和 unlisted 只影响是否出现在导航和搜索结果里，不能替代权限控制。敏感内容必须放在 Access 策略覆盖的路径下，或者干脆不要发布。