云 WAF 的规则构成
云 WAF 一般提供三类能力：厂商维护的托管规则组（基础防护、Web 漏洞、CC 防护、Bot 管理等）、面向具体业务的自定义规则，以及频率与访问控制类策略。规则由厂商持续更新，用户侧要做的是选对规则组并处理误报。
先观察后拦截的老规矩
托管规则组更新频繁，直接全量开启拦截容易带来意外误拦。稳妥做法是先用仅记录模式跑一到两周，按业务接口核对命中与误报，再逐组切换到拦截，同时留意厂商发布的规则变更公告。
基本信息
| 规则组 | 基础防护、Web 漏洞、CC 防护、Bot 管理 |
|---|---|
| 自定义规则 | 按 URL、Header、参数配置匹配与动作 |
| 观察模式 | 支持仅记录，先跑一段时间再切拦截 |
| 变更关注 | 厂商定期更新规则库，需阅读变更公告 |
典型使用场景
- 站点首次接入云 WAF 的规则配置
- 遭遇 CC 攻击后开启频率控制
- 业务接口需要按路径做访问限制
- 误报集中出现时逐条收敛例外
- 评估新上线的托管规则组是否适配业务
- 合规要求说明防护规则覆盖情况
配置顺序
配置顺序
# 1. 开启基础防护，先用仅记录模式
# 2. 按业务类型打开适用的规则组（Web 漏洞、CC 等）
# 3. 依据业务补充自定义规则，条件尽量精确
# 4. 观察一到两周误报，收敛例外后再切换拦截
# 5. 订阅规则变更公告，更新后复查误报情况规则类型与建议
| 规则类型 | 建议 |
|---|---|
| 基础防护 | 默认开启，观察期后切拦截 |
| Web 漏洞类 | 按业务使用的组件与框架选择 |
| CC 与频率控制 | 按接口设置阈值，避免误伤正常用户 |
| 自定义规则 | 条件精确，记录原因与到期时间 |
云 WAF 规则由厂商维护更新：关注规则变更公告，更新后重点复核曾被加为例外的规则。
全量开启规则组不做观察，误拦会直接影响线上业务，而且往往在用户投诉后才发现。
自定义规则与托管规则冲突时，先确认执行顺序与优先级，再判断命中来源。