內容管理，
天生去中心化
為邊緣而設。

由 LionRockJS/worker-cms, 取得原始碼，然後安裝。

$ git clone https://github.com/LionRockJS/worker-cms.git
$ cd worker-cms
$ npm install

兩個隔離資料庫：cms 存放私有後台資料，cms-published 只存 live content。把輸出的 database_id 複製到 wrangler.toml。

$ npx wrangler d1 create cms
$ npx wrangler d1 create cms-published

正式環境加上 --remote。本機可用 npm run db:migrate 一次套用兩個資料庫。

$ npx wrangler d1 migrations apply cms
$ npx wrangler d1 migrations apply cms-published

Bucket 保持私有；Worker 會在 /media/<key> 提供物件。MEDIA_BUCKET binding 已在 wrangler.toml 內設定。

$ npx wrangler r2 bucket create worker-cms-media

⚠️ JWT secret 必須 至少 32 字元 — 若 key 太弱，Worker 在正式環境會拒絕服務。本機開發請建立 .dev.vars。

# 隨機 32-byte 簽署 key
$ openssl rand -hex 32 | npx wrangler secret put JWT_SECRET

Plugin secret 是 逐個插件 管理：註冊時 CMS 會建立專屬 secret，因此每個插件都可獨立輪換或撤銷。新安裝毋須設定 CMS 全域 PLUGIN_SECRET；它只保留作 legacy row 的 outbound fallback，而 /__cms inbound API 絕不接受它代替專屬 secret。

在 wrangler.toml 選好 gateway，然後到每個 provider 註冊 OAuth app，取得 client ID 及 client secret。所有 provider 都會導回同一 callback，也就是你的 OAUTH_REDIRECT_URI：

# 正式環境 — 必須與 wrangler.toml 完全一致
https://<your-domain>/auth/callback
# 本機開發（.dev.vars）
http://localhost:8787/auth/callback

列出已註冊的 gateway，並把各自的 client ID 放入 wrangler.toml。同時把 CANONICAL_ORIGIN 設為你的 domain — Worker 會強制使用 canonical host，否則導向預設 origin：

[vars]
ENABLED_PROVIDERS = "eventuai,github,google"
GITHUB_CLIENT_ID     = "<github-client-id>"
GOOGLE_CLIENT_ID     = "<google-client-id>"
OAUTH_REDIRECT_URI   = "https://<your-domain>/auth/callback"
CANONICAL_ORIGIN     = "https://<your-domain>"

然後把對應的 client secrets 以加密 secrets 上傳（切勿 commit）。逐條指令執行，並在提示時貼上值：

$ npx wrangler secret put GITHUB_CLIENT_SECRET
$ npx wrangler secret put GOOGLE_CLIENT_SECRET

只應在 Wrangler 的互動提示輸入 secret，或從受保護檔案讀入；不要直接把 secret 放進 shell command、wrangler.toml 或 source control。Account、database、route 及 OAuth client ID 是識別碼，不是 bearer secret。

你的帳戶會在首次登入後才建立。當 app 在本機或邊緣運行時，打開 /auth/login 並透過任一 provider 登入一次以建立 user row，然後提升權限。Roles 以逗號分隔。

# 正式 DB — 在已部署網站登入後執行
$ npx wrangler d1 execute cms --remote \
    --command "UPDATE users SET role='admin' WHERE email='[email protected]'"

在 localhost:8787 測試？移除 --remote 以操作本機 DB，然後登出再登入，讓新角色寫入 token。

$ npx wrangler d1 execute cms \
    --command "UPDATE users SET role='admin' WHERE email='[email protected]'"

發佈預設使用 d1 目標。加入 r2 可把靜態 JSON snapshot 放入 bucket：

$ npx wrangler r2 bucket create worker-cms-published

# wrangler.toml — 綁定 bucket，然後啟用目標
[[r2_buckets]]
binding = "PUBLISH_BUCKET"
bucket_name = "worker-cms-published"

[vars]
PUBLISH_TARGETS = "d1,r2"

For everything else, 發佈目標 are plugin Workers. Two are ready to deploy — plugin-publish-ipfs （透過 Pinata 把頁面 pin 到 IPFS）及 plugin-publish-webhook （以 HMAC 簽署 webhook，供搜尋索引、重建、部署 hook 使用）— 或自己編寫：任何 manifest 宣告 publishTarget: true 的 Worker 都可以。

# 1 · 部署插件 Worker 並記下 URL
$ git clone https://github.com/zeroxcms/plugin-publish-ipfs && cd plugin-publish-ipfs
$ npm install && npx wrangler deploy

然後在 CMS 後台打開 /admin/plugins-manage → Register plugin，貼上 Worker URL。不用重新部署 CMS，亦不用 service binding — manifest（含 publishTarget: true）會透過 HTTPS 自動發現。CMS 會為該插件建立 專屬 secret；到 Plugins → Edit 複製到插件 Worker，然後重新部署：

# 2 · 貼上 Admin → Plugins → Edit 顯示的逐插件 secret
$ npx wrangler secret put PLUGIN_SECRET
$ npx wrangler deploy

插件屬受信任的應用程式碼。代理的插件頁面及明確核准的 JavaScript 會在 CMS origin 執行；請先審閱插件 source、只批出所需 page-type scope，並在插件受損時輪換其專屬 secret。