cfsolve:不开浏览器过 Cloudflare 的开源库,一条 HN 帖被捞回首页,一天涨 411 颗 star
它是什么 一个 Rust 写的开源工具,不开浏览器就能通过 Cloudflare 的「确认你是人类」和 5 秒盾,让程序和 AI agent 接着访问被挡的网站。
为什么火了 每个写爬虫、用 AI agent 上网的人都被这堵墙挡过,而开源同类全是开一个伪装浏览器;一句「no headless browser required」上了 HN 首页,作者懂行、当场回应质疑,还聊了怎么用 Claude 逆向。
B你可以怎么跟 别再做一个求解器;给它包一层 Python 绑定或 docker 一行跑起来的 HTTP 服务,或者做一条自动追 Cloudflare 更新的维护流水线,主打「一直能用」,照它的打法发 HN。
- 数据(每天更新) · 建库 2026-10-26 · 677 星 · 7 天 +228
GitHub · 星数 数据 2026-10-30 → 2026-11-08(10 天,10 次观测)。10-28 以前的点来自 deeply / 存档补录,不是每天都有
2026 年 10 月 28 日,一个 HN 账号叫 costco 的开发者发了一条帖子:「Cloudflare Turnstile solver library (no headless browser required)」。帖子当时没起来。三天后 HN 把它从「二次曝光池」里捞回首页,最后拿到 317 分、115 条评论,GitHub 上的库第二天涨了 411 颗 star。11 天,602 颗 star、112 个 fork。它是什么,为什么一句标题就够了,你想让自己的开源项目也这样拿到 star,能从它身上学到什么,这篇讲清楚。
「我前几天发过,看来被放进了二次曝光池」
10 月 31 日 UTC 零点刚过,作者在自己的帖子下面留言:
Author here. I submitted this a few days ago but seems like it was added to the second chance pool so now it's on the front page.
(「我前几天就发过,看来被放进了二次曝光池,所以现在上了首页。」)接着他说,有用户报告挂欧洲代理用不了、挂美国代理能用,Cloudflare 可能给不同地区发了不同版本的挑战,「我很快修」。11 月 1 日他回来说,德国和法国 IP 能复现的问题都修好了。
115 条评论里有 100 条集中在 10-31 这一天。GitHub 上的数字对得上:10-31 是 38 颗 star,11-01 是 449 颗(按天记录的 star 数,11-01 快照)。
它是什么
一个 Rust 写的库加命令行工具,MIT 协议。给它一个被 Cloudflare 挡住的网页地址,它吐出一个 Turnstile token(登录框里那个「确认你是人类」的小组件),或者一个 cf_clearance cookie(「正在检查你的浏览器」那个 5 秒盾页面)。拿着这个,你的程序就能像人一样接着访问那个网站。
关键是不开浏览器。它把 Cloudflare 挑战里那段混淆过的 JavaScript 虚拟机整个逆向了,用纯 HTTP 请求把答案算出来交回去。它装成的是 iPhone 上的 Safari(iOS 26),TLS 和 HTTP/2 的指纹用自己 patch 过的 BoringSSL 加 wreq 来模拟。另带一个 capture-proxy:你用真浏览器过一遍挑战,它把发给 Cloudflare 的应答录下来,生成新的浏览器档案。
为什么一句标题就够了
这堵墙每个人都撞过。 评论区吵成两派。一派是被挡的:「连每天 0.5 个访客的破网站都上了它」,有人说俄罗斯封了 Cloudflare 之后,不开 VPN 搜出来的链接一个都打不开。一派是站长:OpenStreetMap 这类站被 LLM 爬虫拖垮,不得不加挑战页。还有第三种人,用户 jwr 说得最直白:「我们想让 bot 帮自己干日常杂活(让 AI 干活、人不用干),却被愚蠢的反 bot 规则挡住,这个真的很有用。」2026 年 AI agent 上网是日常,Turnstile 是它们最常撞上的那堵墙。
同类全是「开一个伪装过的浏览器」。 FlareSolverr(1.6 万 star)、undetected-chromedriver(1.3 万)、给 AI agent 用的 camofox-browser(1.2 万)、patchright,路子都是开一个改过的 Chromium 或 Firefox 去过挑战。老一代纯请求的 cloudscraper(6800 star)对新的 Turnstile 基本失效,2025 年 6 月以后没再更新。开源、纯请求、Turnstile 小组件和挑战页都能解的,搜不到第二个;思路最接近的 xKiian/cloudflare-jsd(Go,391 star)只解其中一种挑战。所以「no headless browser required」这几个字本身就是卖点。作者在评论里讲了为什么要这样做:「如果你想做到每天几百万次,你不会想用无头浏览器。」对做大规模采集的人,这是成本差一个数量级的事。
作者懂行,当场接得住质疑。 有人说「没看到 TLS cipher 顺序,Cloudflare 肯定查这个」,作者直接贴出那段代码的链接。他在这个圈子里做了五六年:2020 年的 commercial-bot-detectors(收集各家商业机器人检测服务的 JS 代码,137 star)、puppeteer-bypassing-bot-detection(96 star),还有逆向 Zoom、Hulu 的项目。
「Claude 帮我逆向了 Cloudflare」本身就是话题。 有人问用的哪个模型、怎么说服它帮忙,作者答:主要是 Claude 和 Muse Spark,「只要它相信我控制着那个放了测试验证码的网站,就挺乐意帮」——他真的在 Cloudflare Workers 上部署了自己的测试站,把各种 Turnstile 类型挨个试过。他还说,之后 Cloudflare 每次更新,他基本就是跟 agent 说一句「他们改了东西,请修好」,等几个小时(大部分时间在编译 Rust)。这一段在评论区引出一长串「怎么让模型帮你干这类活」的讨论。
star 从哪来
| 日期 | star(当天快照) | 发生了什么 |
|---|---|---|
| 10-26 | — | 建库 |
| 10-28 | — | 发 HN,没起来 |
| 10-30、10-31 | 29、38 | 被二次曝光池捞上首页,评论集中在 10-31 |
| 11-01 | 449(+411) | 首页带来的那一波 |
| 11-02 至 11-06 | 489 → 537 → 564 → 592 → 602 | daily.dev、PithWire、theterminal.space 等 HN 搬运站陆续转述;11-05 台湾博主 gslin 写了中文短评 |
几乎全靠 HN 这一次。X 上近 30 天搜 cfsolve 没有一条,Reddit 上也没有专门讨论它的帖子。没有官网,没有推广。建库不满两个月,上不了 GitHub trending。到 11-06 一天只涨 10 颗,这一波基本过去了。
有一个数值得看:112 个 fork,fork 和 star 的比例接近 1:5,同龄新库里偏高,说明真有人拿去改、拿去用。其中一个 fork 来自 penumbra-x,就是 cfsolve 底层 HTTP 库 wreq 的作者,他的 fork 简介写着「currently broken due to update am fixing」(Cloudflare 一更新就坏了,我在修)。主库 11-05 更新过浏览器档案,现在能不能用,未核实。
它的软肋,就是留给你的位置
HN 评论里被问得最多的一句是:Cloudflare 一更新就失效,谁来维护?用户 teravor 说得透:真正值钱的不是这一版求解器,是一条能持续追 Cloudflare 的流水线——自动拉最新的混淆代码、逆向、更新求解器;没有它,没人敢在上面搭东西。作者自己的回答也很老实:「接下来几周我会更新,但大概不会一直更新。」
另外几处它没做:只有 Rust 库和命令行,没有 Python、Node 的绑定,也没有 FlareSolverr 那样开箱即用的 HTTP 服务;浏览器档案只带了一个 iOS Safari;要自己装 CMake、libclang、patch BoringSSL 才编译得起来。爬虫圈的主力语言是 Python,这一步门槛就挡掉了一大半人。
如果是你
B。 想靠这个方向拿 star 是可行的:需求大、知道的人还少、同类开源几乎都是浏览器路线。但门槛很高,而且是跟 Cloudflare 打一场停不下来的仗;不懂逆向的人照着做做不出来,做出来不维护,几周后就是一个坏掉的库。
适合谁:做过爬虫、反检测或逆向,能看懂 JS 虚拟机混淆的开发者;已经有一个爬虫相关的开源项目,想要一个能把 star 拉起来的新作品。
不适合谁:没碰过逆向、想用 AI 一次写出来的(作者用 AI 是建立在五六年积累和自建测试站上的);不想长期维护的;所在公司或国家对绕过访问控制有法律顾虑的——评论区有人提了美国的 CFAA,这件事没有定论。
怎么做,三条路,难度从低到高:
- 做它没做好的部分:给 cfsolve 包一层 Python 绑定或 FlareSolverr 式的 HTTP 服务,docker 一行跑起来,对接 Scrapy、Playwright、各家 AI agent 框架。底层跟着上游走,你负责好用。风险是上游停更你也跟着停。
- 做「一直能用」的版本:把 teravor 说的那条流水线做出来——定时检测失败率,自动拉 Cloudflare 新代码,派 agent 修、跑测试、发版。README 上挂一个「最近一次通过时间」的徽章。这正是 HN 上最大的质疑,也是作者说他不会一直干的事。
- 换一家墙:照同样的路子做 DataDome、Akamai、hCaptcha、AWS WAF 的纯请求求解器。每一家都有一批被它挡住的人,开源里同样大多是浏览器路线。难度不比 cfsolve 低。
怎么获客:照它的打法来。HN 标题就写「X solver (no headless browser required)」这种一句话反差,别写架构;第一次没起来别删帖,HN 会给第二次机会;上首页那 48 小时本人守在评论区,有人报 bug 当天修、当天回帖说修好了。把「我怎么用 AI 逆向它」写进帖子或 README,这是现成的讨论点。
死线:第 1、2 条要在 cfsolve 原作者停更、或别人先做出来之前,大概是接下来一两个月。作者说的是「接下来几周」。
算看错:① Cloudflare 专门针对这个库改了检测,主库和 penumbra-x 的 fork 一两个月内都修不回来——说明纯请求这条路维护成本太高,跟上去的项目都会变成坏库;② 一个月内出现了第一个 Python 绑定或 API 服务版,却拿不到 200 颗 star——说明这波 star 来自「不开浏览器」的新鲜感,不是真实需求;③ GitHub 因为投诉下架同类库。
数据与出处
- GitHub:chris124567/cfsolve 的 README、提交记录;逐日 star 和 fork(10-30 至 11-06)。作者其他库的 star 数来自 GitHub。
- Hacker News:item 50277379,317 分、115 条评论;文中引用的作者回复、jwr、teravor、vlyan、matkoniecz 等人的评论都来自这个帖子。
- 搬运和评论:daily.dev、PithWire、theterminal.space、blog.jojomensah.com、blog.gslin.org(11-05)。
- 竞品 star 数:FlareSolverr、undetected-chromedriver、camofox-browser、patchright、cloudscraper、xKiian/cloudflare-jsd,GitHub,11-06 前后。
- fork:penumbra-x/cfsolve 的简介来自搜索结果标题。
- X:近 30 天搜「cfsolve」「chris124567」,0 条。
研究底稿:竞品表、获客证据、完整研究报告
- 竞品
名字 在哪 上线 规模 它和这家不同在哪 FlareSolverr 开源 2020-06 16,146 星 代理后面开真的 Chromium,重;cfsolve 不开浏览器 undetected-chromedriver / nodriver 开源 2019-12 / 2024-02 12,899 / 4,916 星 反检测的浏览器自动化,要跑浏览器 camofox-browser 开源 2026-01 12,176 星 给 AI agent 用的隐身浏览器,同一场景,但走浏览器路线 patchright / invisible_playwright 开源 2023-11 / 2026-05 5,099 / 2,551 星 Playwright 的反检测分支,浏览器路线 cloudscraper 开源 2019-04 6,809 星,基本停更 老一代纯请求解 IUAM,对 Turnstile 基本失效;cfsolve 是新一代的同类 Theyka/Turnstile-Solver 开源 2024-10 967 星 Python + patchright,仍要开浏览器 xKiian/cloudflare-jsd 开源 2025-01 391 星 纯 Go 请求式,但只解 jsd 挑战,不覆盖 Turnstile 小组件 2Captcha / CapSolver 等打码平台 其他 多年 商业 API,按次收费 付费、闭源;cfsolve 免费、自托管 Apple Private Access Tokens 大厂功能 2022 系统级 要真设备和 Apple ID,有限流,上不了量 - 用户从哪来
- 查实 Hacker News 首页(second chance pool):作者 costco 在帖里说 'added to the second chance pool so now it's on the front page';317 分,115 条评论里 100 条在 10-31;11-01 +411 星
- 查实 HN 聚合与搬运站、技术博客:daily.dev、hacker-news.news、PithWire、theterminal.space、GlobeWire、La Lettre IT、jojomensah、gslin 中文博客,10-31 至 11-05 陆续发文
- 推断 X / Reddit:x-radar 近 30 天 0 条;Brave 没搜到 Reddit 讨论
chris124567/cfsolve:一个 Rust 写的 Cloudflare Turnstile 求解器,为什么 11 天拿到 600 星
结论
cfsolve 把 Cloudflare Turnstile 和 5 秒盾挑战页整套逆向,用纯 HTTP 请求求解,不开无头浏览器。它在开源里几乎是独一份。星几乎全是一条 Hacker News 帖子带来的:帖子 10-28 发出时没起来,被 HN 的 second chance pool(二次曝光池)捞回首页后,10-31 至 11-01 一天涨了 411 星。之后靠 HN 聚合站和自动搬运博客的长尾,每天涨 10–50 星。打动人的有三点:Cloudflare 无处不在、AI agent 和爬虫被它挡得最难受,开源同类基本都是"驱动一个伪装浏览器"的路子,还有作者大方承认是 Claude 帮他逆向的。差异化(没有浏览器、能跑到每天百万量级)就是它跑出来的原因;作者以前做过机器人检测研究,这段积累是它的底子。
基本数据(github 库,repo_day,2026-10-30 至 11-06)
- 建库时间 2026-10-26,MIT 协议,语言 Rust。今天 602 星、112 fork,fork/星 ≈ 19%,在同龄新库里偏高,说明有人真拿去改去用。
- 逐日星数:10-30 29 → 10-31 38 → 11-01 449(+411) → 11-02 489 → 11-03 537 → 11-04 564 → 11-05 592 → 11-06 602。增速明显衰减,今天只涨 10。
- 建库不满 60 天,上不了 trending;库里 trending_days = 0 不说明任何问题。
- 作者 chris124567 的其他库都是同一路数:commercial-bot-detectors(137 星,2020 年,收集商业机器人检测 / 指纹服务的 JS 代码)、puppeteer-bypassing-bot-detection(96 星,2020 年)、hulu 下载器(224 星,代码已应要求删除)、zoomer(逆向 Zoom websocket 做聊天机器人)。他在反爬对抗这个圈子里做了五六年。
用户从哪儿来(增长手段)
- Hacker News Show 帖,二次曝光池推上首页(已确认,主渠道)
- 帖子 "Cloudflare Turnstile solver library (no headless browser required)",作者 costco(就是作者本人),2026-10-28 发出,最后 317 分、115 条评论(HN Algolia item 50277379)。
- 作者在帖里自己说:"I submitted this a few days ago but seems like it was added to the second chance pool so now it's on the front page."
- 115 条评论里有 100 条集中在 10-31(UTC)。我们库里 11-01 那次快照涨了 411 星,和上首页的时间完全吻合。
- HN 聚合与自动搬运站的长尾(已确认,量小):daily.dev、hacker-news.news、PithWire、theterminal.space、circuitobserver、GlobeWire Daily、La Lettre IT(法语)、blog.jojomensah.com 这些站都在 10-31 至 11-04 发了转述文,大多是根据 HN 帖自动或半自动生成的。台湾博主 Gea-Suan Lin(gslin)11-05 写了中文短评,他实测"看起来不赖"。另外 trendshift.io、DeepWiki 收录了这个库。
- X / Reddit:没找到传播证据。x-radar 本地语料近 30 天搜 cfsolve、chris124567 都是 0 条;Brave 搜 Reddit 也没搜到专门讨论它的帖子(只搜到 r/webscraping 今年 3 月一个泛泛的 Turnstile 问题帖)。结论是它没有借助大号转发,只靠一次 HN 首页。
- 没看到广告、达人或任何付费推广,也没有官网和 homepage。
为什么会火
- 需求本身大,而且正在变急:HN 评论里一部分人抱怨"连日访 0.5 人的小站都上了 Cloudflare",还提到俄罗斯封了 Cloudflare 以后整个网用不了;另一部分人站在站长一边,说 LLM 爬虫无视 robots.txt,OpenStreetMap 这类站被迫加上挑战页。用户 jwr 留言:"For those of us who want to use bots to help them with daily tasks (so that AI does the chores…) … this is really helpful."2026 年 AI agent 浏览网页成了日常,Turnstile 是它们最常撞上的墙。
- 方案上的反差:开源里绕过 Cloudflare 的主流做法都是驱动一个伪装过的浏览器(FlareSolverr、undetected-chromedriver、camoufox、patchright、SeleniumBase UC)。cfsolve 是"完整逆向 + 纯请求",能拿到 Turnstile token 和 cf_clearance。作者在评论里讲了动机:"if you want to scale to millions per day you don't want to have to use headless browsers." 对做大规模采集的人来说,这是成本差一个数量级的事。
- 工程上做得扎实,看得出真懂:它模拟的是 iOS 26 上的 Safari,TLS / HTTP2 指纹用的是自己 patch 过的 BoringSSL 加 wreq / http2;另带一个 capture-proxy,用真浏览器录下挑战的应答,生成 profile。评论里有人问"没看到 TLS cipher 顺序",作者当场贴出了对应代码。
- "AI 帮我逆向了 Cloudflare"是个话题点:有人问用了哪个模型、怎么让模型肯帮忙,作者答 "Mainly Claude and Muse Spark… happy to help if it was convinced that I controlled the website",还说 Claude 记住的项目上下文越多就越不纠结。这一段在评论区引出一长串讨论,"LLM 逆向反爬"本身就是 2026 年 HN 爱聊的东西。
- 上首页后作者持续修:作者 10-31 修了欧洲 IP 拿到不同版本挑战的问题,11-01 修了 VM 随机版本的 bug,11-03 加了 CI,11-05 更新了 profile。11-03 有外部贡献者 abadawe-dev 和 Claude 联名提交了 6 个 commit。HN 上质疑最多的就是"Cloudflare 一更新就失效、谁来维护",持续更新正好回应了这个质疑。
竞品
| 名称 | 在哪 | 上线 | 规模 | 和 cfsolve 的区别 |
|---|---|---|---|---|
| FlareSolverr | 开源 | 2020-06 | 16,146 星,本周 +75 | 代理服务器后面开一个真的 Chromium 过挑战;部署重、吃资源,也不专门处理 Turnstile 小组件 |
| undetected-chromedriver / nodriver | 开源 | 2019-12 / 2024-02 | 12,899 / 4,916 星 | 浏览器自动化加反检测补丁,要跑浏览器 |
| camofox-browser(jo-inc) | 开源 | 2026-01 | 12,176 星,本周 +127 | 给 AI agent 用的隐身无头浏览器,同样针对 agent 场景,但仍是浏览器路线 |
| patchright / invisible_playwright | 开源 | 2023-11 / 2026-05 | 5,099 / 2,551 星 | Playwright 的反检测分支,浏览器路线 |
| cloudscraper(VeNoMouS) | 开源 | 2019-04 | 6,809 星,基本停更(最后推送 2025-06) | 当年纯请求解 Cloudflare IUAM 的 Python 库,对新的 Turnstile / managed challenge 基本失效。cfsolve 等于是新时代的 cloudscraper |
| Theyka/Turnstile-Solver | 开源 | 2024-10 | 967 星 | Python + patchright 多线程,仍要开浏览器 |
| Sophomoresty/turnstile-bypass、ZFC-Digital/cf-clearance-scraper、Xewdy444/CF-Clearance-Scraper | 开源 | 2022–2026 | 500–750 星 | 都靠浏览器拿 cf_clearance |
| xKiian/cloudflare-jsd | 开源 | 2025-01 | 391 星 | 纯 Go 请求式,但只解 jsd 挑战,不覆盖 Turnstile 小组件。思路最接近 cfsolve,规模小得多 |
| enetx/surf、curl_cffi、wreq | 开源 | 2025 前后 | surf 1,850 星 | 只做 TLS / HTTP 指纹伪装,不解挑战;cfsolve 本身就基于 wreq |
| 2Captcha、CapSolver、CapMonster 等打码平台 | 网页 / API | 多年 | 商业,按次收费 | 付费 API,后面是人工或私有求解器;cfsolve 是免费、自托管、开源 |
| Apple Private Access Tokens(PAT) | 大厂功能 | 2022 | 系统级 | 评论里有人提用真 Mac Safari 的 PAT。作者认为 PAT 按 Apple ID 限流,上不了量 |
结论:浏览器路线的同类很多,星也多;开源、请求式、能同时覆盖 Turnstile 小组件和挑战页的,在我们 github 库里查不到第二个。商业打码平台私下有类似能力,但不公开。
抄它的人和后续
- fork 112 个。有一个值得注意:penumbra-x/cfsolve(Brave 搜索结果)。penumbra-x 就是 wreq / rquest 的作者,也就是 cfsolve 底层 HTTP 库的作者;他 fork 后把简介改成 "(currently broken due to update am fixing)"。这说明 Cloudflare 已经有过一次更新让它失效,圈内人在跟进修。
- 其他 fork(ollym、Bharathboy1、93Pd9s8Jt、0xTox、abadawe-dev)看起来是普通复制,没看到改名重新包装的独立跟风项目。
- 还没看到 Python / Node 绑定或 API 服务化的跟风库(未核实,没有逐个看 fork)。
现在有多少人知道
小圈子里在传:一次 HN 首页(317 分),加上一批 HN 自动搬运站和一个台湾技术博客。X 上没有大号写,也没进 Reddit 的主流讨论。这是个开源免费的库,没有收入可言。但它的能力对打码平台、爬虫 SaaS 有直接价值,很可能被闷声集成进商业服务,外面看不到。
可以借鉴的
- 硬核逆向 + 一句话反差标题("no headless browser required"),在 HN 上很有效。第一次没起来也别删帖,HN 的 second chance pool 会给第二次机会。
- 上首页那 48 小时,作者本人进评论区答技术质疑、当天修掉别人报的 bug。这是把"玩具"可信度变成 star 的关键。
- 坦白 AI 辅助逆向的过程本身就是传播点。"用 Claude 逆向 X"这个话题框架可以复用。
- 作者多年的反爬积累(commercial-bot-detectors 等)是底子。同类没拿到这么多星,是因为纯请求逆向 Turnstile 的 VM / 混淆门槛高,而以前做出来的人大多拿去卖打码服务了,不开源。
不确定的
- 真实使用量、成功率没法核实。penumbra-x 的 fork 简介说"currently broken due to update",主库 11-05 更新 profile 后是否恢复,未核实。
- Cloudflare 有没有针对它做出回应(比如专门给这个库做指纹),未核实。
- 11-01 那天的涨星里有没有其他来源(比如 Telegram、Discord 的爬虫群),没有证据,推测仍以 HN 为主。
- 作者身份(costco / chris124567)和商业背景没查到;GitHub API 当时触发限流,没拿到账号注册时间和 followers。
出处
- 库数据:github 库 repo_profile / repo_day(2026-10-30 至 11-06),以及同类库的检索结果。
- HN:news.ycombinator.com/item?id=50277379 (Algolia API,317 分、115 条评论;作者关于 second chance pool、模型使用、EU 版本修复的回复)
- README 和提交记录:github.com/chris124567/cfsolve 、/commits/master(通过 Jina 读取)
- 搬运文:daily.dev/posts/cloudflare-turnstile-solver-library-no-headl… 、pithwire.com/en/articles/cloudflare-turnstile-solver-library… 、theterminal.space/software/cfsolve-turnstile-solver-rust-no-… 、blog.jojomensah.com/posts/cloudflare-turnstile-rust-cfsolve 、blog.gslin.org/archives/2026/11/05/13328/
- fork:github.com/penumbra-x/cfsolve (Brave 搜索结果里的标题)
- X:x-radar 近 30 天检索 "cfsolve"、"chris124567",0 条结果