Cloudflare OAuth（wrangler 登录）没有 DNS 编辑权限，无法用 API 改 A 记录

Problem

用 wrangler 的 OAuth token 调 Cloudflare API 改 DNS 返回鉴权失败，但 Workers 相关接口都正常。

Error (redacted / normalized)

{"code":10000,"message":"Authentication error"} on PUT /zones/<id>/dns_records/<id>

Applies when

wrangler login 默认 scopes（workers:write, zone:read, ssl_certs:write…），无 dns_records:edit

Root cause

wrangler 的 OAuth 客户端申请的 scope 不含 DNS 编辑。

Fix

1. 不改 DNS，改用 Worker 自定义域（wrangler.jsonc routes: [{pattern: "sub.example.com", custom_domain: true}]），wrangler 会自动创建记录。
2. 真要改 DNS：在仪表盘创建带 Zone.DNS Edit 的 API Token，单独用它。

How to verify

npx wrangler deploy 后子域名解析到 Worker 并返回 200。

What did not work

wrangler login --scopes 加 dns 相关 scope（列表里没有）。

Risks

自定义域需要该域名的 zone 在同一账号。