Cloudflare Access 配置

Cloudflare Access 为可选项：IPA Harbor 的部署脚本会配置 Access 策略。

以下说明在 Access 默认保护整站 的前提下，哪些路径需要在 Cloudflare 中 Bypass（放行、不要求 Access 登录），以及原因。

需 Bypass 的路径

iOS / iPadOS 的 OTA 安装服务会直接请求 manifest 与 ipa 文件，无法像浏览器一样弹出 Cloudflare Access 登录页。

请在 Access 策略中为下列路径配置 Bypass（路径匹配方式以 Cloudflare 控制台为准，下表为 IPA Harbor 实际路由）：

路径（示例）	为何需要放行
`/v1/ipa/install-package/*/manifest.plist`	设备拉取 OTA 用的 `manifest.plist`；IPA Harbor 用短时 ticket 校验，不依赖管理员 Session。
`/v1/ipa/getpackage//`	设备按 manifest 中的地址下载 ipa；同样用 ticket 校验与过期时间限制。
`/v1/app/icon/*`（按需）	若 manifest 里图标 URL 指向 IPA Harbor 而非 Apple CDN，安装流程也需要设备能无 Access 地 GET 图标。

未启用 OTA 或者仅桌面浏览器下载 ipa 文件时，通常不必配置上述 Bypass，整站统一走 Access 即可。