Cloudflare Worker站点Meta分享调试403及OG标签异常求助

问题背景 #

• 本地使用curl模拟Facebook请求（UA为facebookexternalhit/1.1）返回200状态码，页面包含完整的Open Graph（OG）标签，OG图片也能正常返回200。
• Meta Sharing Debugger返回403状态码，且og:title显示为域名、og:description为空。
• Worker日志显示部分Meta请求能被接收并返回200，但后续调试请求未到达Worker，推测被Cloudflare提前拦截。
• 已添加Cloudflare自定义安全规则：匹配Page Preview类验证机器人或AS32934/63293的GET/HEAD请求（排除/api/*路由），执行Skip操作跳过多种安全组件，安全事件显示该规则已匹配部分Facebook请求，但问题仍存在。
• 安全事件中出现“AI Labyrinth Served”记录。

核心问题 #

1. 即使Worker返回200，Cloudflare AI Labyrinth是否会导致Meta调试器看到403或空白OG结果？
2. AI Labyrinth能否通过WAF自定义规则绕过，还是需单独禁用？
3. 有无更优的Cloudflare规则/配置，可允许facebookexternalhit/Page Preview机器人获取公开OG元数据，且不削弱/api/*路由的安全性？

问题解答 #

1. AI Labyrinth对Meta调试器的影响 #

是的。AI Labyrinth是Cloudflare的反自动化拦截系统，一旦它判定请求存在风险，会直接返回403响应，不会将请求转发到Worker。即使Worker本身能正常返回200，只要请求被AI Labyrinth拦截，Meta调试器就会收到403，无法读取正确的OG标签，进而出现标题显示为域名、描述为空的异常。

2. AI Labyrinth的绕过方式 #

AI Labyrinth可以通过自定义WAF规则绕过，无需单独禁用整个功能（这会大幅降低站点安全性）。关键是要让符合条件的Meta爬虫请求在触发AI Labyrinth检查前，就被高优先级的自定义规则匹配，执行跳过安全组件的操作。

3. 精准安全规则配置方案 #

以下规则可在保障/api/*路由安全性的前提下，允许Meta爬虫正常获取OG元数据：

规则匹配条件（逻辑AND组合）

• 请求方法：GET 或 HEAD
• 用户代理：包含 facebookexternalhit/1.1 或 facebookexternalhit/1.1 (+http://www.facebook.com/externalhit_uatext.php)
• ASN：32934（Meta官方ASN）或 63293（Meta旗下IP段）
• 请求路径：不匹配 ^/api/.*
• 机器人管理分类：验证为 Page Preview 类机器人

规则动作

执行Skip操作，勾选以下安全组件：

• AI Labyrinth
• 托管规则集
• 速率限制规则
• 自定义规则（除当前规则外）
• 机器人管理

额外优化建议

• 将该规则的优先级设置为最高级，确保Meta请求不会先被其他安全规则拦截。
• 在Cloudflare机器人管理模块中，将facebookexternalhit添加到允许列表，进一步降低误拦截概率。
• 定期查看安全事件日志，若发现Meta使用新的ASN或UA，及时更新规则匹配条件。

内容的提问来源于stack exchange，提问作者David Wolf