HN讨论 · 身份未知
用户切换 nameserver 后被迫手动禁用 Cloudflare 静默注入的 analytics 脚本
网站所有者将 nameserver 切换到 Cloudflare 以通过自有子域名提供 R2 bucket 内容时，发现 Cloudflare 在纯 HTML 无 JS 网站上静默注入 analytics 脚本，用户必须前往 Analytics dashboard 手动添加站点并禁用该片段。用户认为此类功能应当 opt-in，而非静默部署后要求 opt-out。
查看原始信号hn:49322107
目标用户
使用 Cloudflare 管理域名和静态站点、通过 R2 或类似对象存储提供内容的网站所有者与开发者
潜在需求
网站所有者需要平台在启用 analytics 等附加功能时明确征得同意（opt-in），而不是在切换基础服务时静默注入脚本，再让用户手动查禁（opt-out）。
发生场景
用户将 nameserver 切换到 Cloudflare 以绑定 R2 bucket 到自有子域名，切换完成后发现原本无 JS 的纯 HTML 站点被注入了 Cloudflare 的 analytics JS 代码，需要自行到 Analytics dashboard 添加站点并禁用该片段。
来源证据
用户将 nameserver 切换到 Cloudflare 后，发现其静默注入 analytics JS 到无 JS 纯 HTML 网站，需手动到 dashboard 禁用。
A few hours ago I switched my nameservers to Cloudflare in order to enable R2 bucket serving through my own subdomain, and I found out that it silently had injected a JS analytics snippet in my HTML-only JS-free site textlog.cc — I had to go to the Analytics dashboard, Add the site to the analytics and then disable the snippet. I find this approach entirely invasive, you should opt-in to features like that not have to opt-out. Just a warning out there to folks who might not be aware of this.https://news.ycombinator.com/item?id=49322107
为什么值得留意
该信号展示了一个具体可复现的平台默认行为如何与用户预期冲突：一次看似普通的 nameserver 切换引入了未告知的脚本注入，用户需要事后主动发现并关闭。它指向平台设置中“默认 opt-out”设计带来的信任与可控性需求，值得关注是否存在更多同类反馈。
已有方案
- 在 Cloudflare Analytics dashboard 中添加站点并禁用注入的 snippet
未满足部分
- 缺少默认 opt-in 的显式同意机制，用户需要主动发现并手动关闭注入的脚本
可能延伸 · 模型推测
- 提供浏览器扩展或安全监控工具，提示网站所有者站点上被静默注入的第三方脚本
- 提供托管平台配置检查，默认禁止静默注入 analytics
目前未知
- 该行为是否对所有切换 nameserver 的用户都发生，是否与站点类型或配置相关
- 用户是否已提前知晓该功能但未注意
继续核实
- 其他 Cloudflare 用户在切换 nameserver 时是否也遇到相同的静默注入？Cloudflare 是否提供全局开关或文档说明？
主题词
nameserver setupsilent script injectionanalytics opt-outstatic site hosting