为何在Cloudflare Turnstile中使用cData参数？

官方对cData（或data-cdata）的定义：

A customer payload that can be used to attach customer data to the challenge throughout its issuance and which is returned upon validation.

针对你提出的“为何不在后续API调用传入数据，而是用cData”的疑问，以下是几个核心实用场景：

• 绑定请求上下文，防范令牌盗用复用
  你可以将当前请求的用户会话ID、客户端IP哈希值、页面唯一标识等信息存入cData。验证令牌时，Cloudflare会原样返回该数据，后端可直接对比当前请求的上下文——如果令牌是被盗用的，cData里的上下文必然和当前请求不匹配，直接拒绝即可。这种绑定是在验证令牌生成时完成的，无法篡改，比后续API自行传递参数的安全性更高。

• 全链路追踪验证场景数据
  若需统计不同页面、用户群体的验证通过率，或排查验证失败原因，可将页面ID、用户类型（新/老用户）、设备类型等信息放入cData。验证完成后，通过返回的cData就能直接关联到最初发起验证的场景，无需额外做日志关联工作，大幅简化追踪流程。

• 简化后端参数处理逻辑
  当你需要在验证令牌的同时获取业务相关数据（如用户提交的表单ID、操作类型），将这些数据存入cData后，验证接口返回结果会一并带回该内容。后端无需额外接收和存储这类参数，直接从验证响应中提取即可，代码逻辑更简洁。

• 满足合规追溯要求
  部分合规场景要求记录用户验证请求的完整上下文信息，cData可作为这些标识的载体，与令牌绑定后一同存储。后续审计时，能直接通过cData对应到每一次验证请求的原始场景，满足合规追溯的需求。

内容的提问来源于stack exchange，提问作者Steve P