切换 Cloudflare 域名服务器竟被偷偷注入分析代码

Tell HN: Cloudflare silently injects its analytics when you switch nameservers

几小时前，为了通过自己的子域名启用 R2 桶服务，我将域名服务器切换到了 Cloudflare。结果发现，我的纯 HTML、无 JavaScript 网站 textlog.cc 被悄悄注入了 JavaScript 分析代码片段。我不得不先登录 Analytics 仪表板，将站点添加到分析中，然后才能手动禁用该代码片段。这种做法极具侵入性，类似功能应当采用用户主动选择加入（opt-in）的机制，而不是默认开启后让用户费力退出（opt-out）。特此提醒，大家在切换域名服务器时需留意此类潜在风险。