Cloudflare Turnstile 说明

反垃圾总开关默认开启，并对留言、评论、友链申请默认启用频率配额（同一 IP 每小时分别 3 / 5 / 3 次，全站每小时 60 / 120 / 30 次）。即使不做任何配置，接口也不会被无限制刷写。

Turnstile 人机验证默认关闭，需要先到 Cloudflare 创建站点、取得站点密钥与服务端密钥，再在后台开启。

一个安全设计是：开启 Turnstile 后若服务端密钥为空，所有提交都会被拒绝（提示“人机验证暂不可用”），而不是静默放行。这样漏配不会变成“看起来有验证、实际没验证”，代价是表单会暂时不可用，补齐密钥即恢复。