Cloudflare Turnstile

必填 website_url + website_key，可选 action / cdata / page_data。

website_key（sitekey）——两个位置

1. 隐式渲染：容器 div 上带类名和属性

<div class="cf-turnstile" data-sitekey="<YOUR-SITE-KEY>" data-theme="light"
     data-size="normal" data-callback="onSuccess"></div>

一行取：document.querySelector('.cf-turnstile').dataset.sitekey
2. 显式渲染：sitekey 在 turnstile.render() 的第二个参数里

const widgetId = turnstile.render("#turnstile-container", {
  sitekey: "<YOUR-SITE-KEY>", callback: function (token) { … },
});

这时 DOM 上可能没有属性，去 DevTools 全局搜 turnstile.render。

判断是不是 Turnstile

看脚本域名 challenges.cloudflare.com（站点若开了 CSP 必须放行它，所以这个域一定出现）。控制台一句：typeof turnstile 返回 "object" 即是。

action / cdata

对应组件上的 data-action 与 data-cdata 属性（显式渲染时是 render 参数里的同名键）。站点没设就不用传 —— 它们是站点自己用来区分场景的标签，传错反而对不上。

回填

隐藏 input 的 name 是 `cf-turnstile-response`：

<input type="hidden" name="cf-turnstile-response" value="TOKEN_VALUE" />

也可以用 turnstile.getResponse(widgetId) 现取。

三种模式怎么从页面看出来

（Cloudflare 官方 widget types）
· 完全看不到组件、也没有加载指示 → invisible
· 看得到组件、有转圈、但从不要求点击 → non-interactive
· 看得到组件、可能升级成要勾的方框 → managed（默认推荐档）
⚠ managed 与 non-interactive 在低风险访客身上外观可能一样（都是转一下就过），
真正的区别是「会不会升级成复选框」—— 官方流程图里 Interaction 状态标着 "Managed mode only"。