WAF 全局设置

版本与权限

全局设置中的基础防护支持社区版、专业版和企业版。URL 频率限制、漏洞防御、应用规则、自定义规则、地区访问限制、自定义拦截页面和日志配置仅在专业版和企业版中可用，需要有效许可证。

企业版普通用户需要 WAF 查看权限；修改开关、参数和规则需要 WAF 管理权限。

生效范围

WAF 总开关 控制所有网站的 WAF 防护。带有 网站 标识的全局设置是新建网站的默认值，已有网站需要在 网站设置 中单独配置；对应规则生效时，WAF 总开关和网站 WAF 开关必须同时开启。

1 频率限制

功能	作用	可用版本
访问频率限制	在指定周期内，请求次数超过阈值后临时封锁来源 IP；支持全局模式和 URL 模式	社区版、专业版、企业版
攻击频率限制	同一 IP 多次命中 WAF 规则后临时封锁该 IP	社区版、专业版、企业版
404 频率限制	同一 IP 多次访问不存在的资源并返回 404 后临时封锁该 IP	社区版、专业版、企业版
URL 频率限制	为指定 URL 单独设置周期、阈值和封锁时间	专业版、企业版

访问频率限制中的 全局模式 统计单位时间内对任意 URL 的请求总数，URL 模式 分别统计单个 URL 的请求数。封锁时间到期后会自动解除；重启 OpenResty 也会清除临时封锁。

2 默认规则

功能	作用	可用版本
参数规则	检查请求参数中的常见恶意内容	社区版、专业版、企业版
URL 规则	检查请求 URL 中的常见恶意内容	社区版、专业版、企业版
HTTP 规则	配置允许访问的 HTTP 方法	社区版、专业版、企业版
Cookie 规则	检查 Cookie 中的常见恶意内容	社区版、专业版、企业版
Header 规则	检查请求头中的常见恶意内容	社区版、专业版、企业版
User-Agent 规则	检查 User-Agent 中的常见恶意内容	社区版、专业版、企业版
其他	启用 SQL 注入、XSS 和全局严格模式	社区版、专业版、企业版
漏洞防御	按漏洞规则启用或停用防护	专业版、企业版
应用规则	按应用类型启用或停用防护规则	专业版、企业版

HTTP 规则采用允许列表逻辑。例如仅允许 GET 请求时，应关闭其他不需要的 HTTP 方法。收紧方法或启用严格模式前，应确认业务是否使用 POST、PUT、DELETE、OPTIONS 等请求。

3 自定义规则

功能	作用	可用版本
自定义规则（ACL）	按 URL、IP、Header、Host 等条件匹配请求，并设置允许、拒绝、人机验证等动作	专业版、企业版
文件上传限制	按文件扩展名限制上传类型	社区版、专业版、企业版
地区访问限制	按国家、地区或省份允许或拒绝访问	专业版、企业版
CDN	从指定请求头、常用请求头列表或 X-Forwarded-For 中获取真实来源 IP	社区版、专业版、企业版

真实 IP

只有在请求确实经过可信 CDN 或反向代理时才启用 CDN 配置，并确认代理会覆盖客户端传入的同名请求头。错误信任来源 IP 请求头可能导致黑白名单和频率限制被绕过。

4 配置

功能	作用	可用版本
拦截页面	编辑或恢复 WAF 拦截请求时返回的页面	专业版、企业版
日志	配置 WAF 日志记录和保留方式	专业版、企业版
恶意 IP 组	启用并更新 1Panel 提供的恶意 IP 数据	社区版、专业版、企业版
蜘蛛 IP 池	选择允许访问的搜索引擎蜘蛛并更新地址数据	社区版、专业版、企业版
IP 地址库	更新用于识别 IP 地理位置的地址库	社区版、专业版、企业版

应用规则

修改全局默认值不会自动覆盖所有已有网站。需要立即应用到现有网站时，应使用页面提供的应用操作或进入 网站设置 逐个确认，并在生产环境变更前保留 OpenResty 配置备份。