直接开个防火墙规则，只允许 CF 回源 IP 段访问 80/443 不就。