Cloudflare Access：如何获取已认证用户的邮箱？

可能原因 #

• 身份头转发未开启：Cloudflare Access默认不会自动将用户身份相关头字段转发给自托管应用，需手动配置。
• OTP验证流程限制：纯OTP登录场景下，Access可能不会自动生成JWT断言或传递邮箱头，需确认策略设置。
• 流量未经过Access代理：若应用请求未通过Cloudflare Access的反向代理，头字段不会被添加。

解决步骤 #

1. 配置Access应用的身份头转发 #

• 进入Cloudflare控制台，找到目标Access应用的配置页面。
• 定位到「HTTP请求头」或「身份转发」相关设置项，开启转发身份头功能。
• 将Cf-Access-Authenticated-User-Email和Cf-Access-Jwt-Assertion添加到需要转发的头字段列表中并保存。

2. 调整登录策略的验证设置 #

• 查看对应登录策略的配置，确认是否开启了「生成JWT断言」选项，强制Access在验证通过后生成Cf-Access-Jwt-Assertion头。
• 若仅使用OTP验证，尝试在策略中补充其他兼容身份头传递的验证方式（如邮件验证结合OTP），触发完整的身份信息转发流程。

3. 确认流量路由正确性 #

• 确保所有访问自托管应用的请求都通过Cloudflare Access代理，直接访问应用IP/域名会绕过Access导致头字段缺失。
• 可通过检查请求中的Cf-Ray头，或验证请求源IP属于Cloudflare IP范围，确认流量是否经过Access代理。

4. 解析JWT断言获取邮箱（可选） #

• 若成功获取到Cf-Access-Jwt-Assertion头，可使用JWT解析库（如后端代码中的jsonwebtoken库）解码该字段，断言内的email字段即为用户登录邮箱。

内容的提问来源于stack exchange，提问作者MultiformeIngegno