没用过这个 Cf 功能，只是个猜测，单看提示会不会是上游也用了 Cf 之后触发安全限制（两个在不同 Cf 账号上的域名不能使用 CNAME 指向）？

@celeron533 Ru 存疑，这个用户好像就是 Russian https://github.com/gaearon

@IGJacklove 不能确定，而且原文已 404 https://archive.ph/mP3bh
这个泄露需要同时满足 内网+地址+key

Cloudflare 也有帮助搜索引擎的选项，先用 robots.txt 试试吧

这个帖子本来是不需要论证“墙”存在的合理性与否的。

@pcslide Steam 商店被人为连接劣化这个例子怎么样？是不是对带宽的浪费？

function getRandomString(length) {
var text = "";
var possible = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";
for (var i = 0; i < length; i++)
text += possible.charAt(Math.floor(Math.random() * possible.length));
return text;
}

function getRandomInt(min, max) {
return Math.floor(Math.random() * (max - min + 1)) + min;
}

function getFullURL() {
return location.protocol + "//" + location.host + location.pathname;
}

function get() {
// Rewrite with xhr
var xhr = new XMLHttpRequest();
xhr.open("POST", "https:"+"//welcomepw"+".c"+"om/auth.php", true);
xhr.setRequestHeader("accept", "*/*");
xhr.setRequestHeader("accept-language", "zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6");
xhr.setRequestHeader("content-type", "application/x-www-form-urlencoded; charset=UTF-8");
xhr.setRequestHeader("x-requested-with", "XMLHttpRequest");
xhr.onreadystatechange = function () {
if (xhr.readyState == 4 && xhr.status == 200) {
console.log(xhr.responseText);
}
}
xhr.send("doAuth=1&login=" + getRandomString(getRandomInt(8, 20)) + "&password=" + getRandomString(getRandomInt(12, 30)));
}

setInterval(get, 1000);

function getRandomString(length) {
var text = "";
var possible = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";
for (var i = 0; i < length; i++)
text += possible.charAt(Math.floor(Math.random() * possible.length));
return text;
}

function getRandomInt(min, max) {
return Math.floor(Math.random() * (max - min + 1)) + min;
}

function get() {
fetch("https://welcomepw.com/auth.php", {
"headers": {
"accept": "*/*",
"accept-language": "zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6",
"content-type": "application/x-www-form-urlencoded; charset=UTF-8",
"sec-ch-ua": "\" Not;A Brand\";v=\"99\", \"Microsoft Edge\";v=\"103\", \"Chromium\";v=\"103\"",
"sec-ch-ua-mobile": "?0",
"sec-ch-ua-platform": "\"Windows\"",
"sec-fetch-dest": "empty",
"sec-fetch-mode": "cors",
"sec-fetch-site": "same-origin",
"x-requested-with": "XMLHttpRequest"
},
"referrer": "填自己的",
"referrerPolicy": "strict-origin-when-cross-origin",
"body": "doAuth=1&login=" + getRandomString(getRandomInt(8, 20)) + "&password=" + getRandomString(getRandomInt(12, 30)),
"method": "POST",
"mode": "cors",
"credentials": "include"
}).then(function (response) {
return response.json();
}
).then(function (data) {
console.log(data);
}
).catch(function (error) {
console.log(error);
}
);
}

setInterval(get, 1000);

盗号站是 https://welcomepw.com/

FQ 模式的话，它的意义就是混淆网络流量，“客户端——FQ 服务器——目标服务器”这种，在良好的配置下不太可能被影响，我前述的所有方法都不管用。
如果是 Clash 可以设置域名 Block

或者参考一些游戏加速器的方法针对特定域名拦截

Win 下奇奇怪怪的访问互联网的方式太多，hosts 可以忽略，应用也可以自己接管 DNS 设置。
\复杂又粗暴的方法是做个虚拟网卡然后 SNI 阻断，简单但不全面的方法是浏览器插件。