LiteLLM 的 spend log 按 key 记了 token 和来源 IP，放在 Cloudflare Tunnel 后面时 IP 全是集群内地址。改用 pre-call hook 读 CF-Connecting-IP，对外的 key 另加别名和限流。