WAF 拦截模式与回退是什么
WAF 通常提供观察与拦截两种模式：观察模式只记录命中规则，拦截模式直接阻断请求。切到拦截意味着防护开始真正生效，也意味着误拦会立即变成业务故障。因此切换拦截的核心不是「开不开」，而是回退通道是否可用——能否按单条规则、单个站点或整体快速恢复到观察模式。把回退设计在切换之前，才叫可控上线。
基本信息
| 模式类型 | 观察（记录不拦）、拦截、按规则单独设置动作 |
|---|---|
| 回退粒度 | 单条规则、单站点、全局模式三级 |
| 切换前提 | 观察期覆盖完整业务周期，误报已逐条处理 |
| 值守要求 | 切换后加强监控，建议至少 24 小时 |
| 验证内容 | 业务功能复测 + 命中日志核对 + 误拦申诉通道 |
典型使用场景
- 新站点接入 WAF：先观察模式运行一段时间，确认规则集与业务兼容
- 大促或活动前：确认拦截模式已生效，同时准备好限速与回退预案
- 出现业务投诉：区分是 WAF 误拦还是应用自身故障，需要按规则维度定位
- 按规则精细控制：多数规则拦截，个别高误报规则保持观察
- 应急场景：遇到攻击时把某些规则临时切为拦截，事后按流程恢复
- 回退演练：在非高峰时段演练整体回退操作，确认耗时与步骤清晰
回退预案要素
回退预案要素
# 触发条件：误拦影响核心业务（登录、支付、下单失败率上升）
# 一级动作：把误拦的那条规则单独切回观察模式
# 二级动作：把受影响站点整体切回观察模式
# 三级动作：全局切回观察模式或进入直通（应急止血）
# 执行人：值班工程师，具备对应操作权限
# 恢复验证：按业务功能复测清单逐项确认
# 事后动作：分析误报原因，补充精确例外后再重新启用回退粒度对照
| 粒度 | 适用情形 | 影响面 |
|---|---|---|
| 单条规则 | 明确由某条规则引起的误拦 | 最小，仅放开该检测点 |
| 单站点 | 规则与业务耦合复杂，短时无法定位 | 该站点防护整体降级 |
| 全局模式 | 攻击与误拦同时发生，需快速止损 | 所有站点防护整体降级 |
回退预案要写在变更单里、演练过一遍，而不是在故障现场临时讨论；同时确认值班人员有执行权限，否则流程会把响应时间拖长。
长期停留在观察模式会让 WAF 变成只记账不拦人的日志系统，误报治理要有明确的时间节点和负责人。