WAF 与 CC 防护
WAF 规则库、CC 规则集（按 IP、网段、URI、JA4 等计数）、JS 挑战、快速屏蔽与 JA4 拦截；商业版另有按站点自动排除误报的自适应 WAF。
能解决什么问题
网站最常见的两类麻烦：注入、跨站、扫描等应用层攻击，以及用大量请求把源站拖垮的 CC 攻击。主控把 WAF 和 CC 规则编译后下发到节点执行，攻击请求在节点上被挡下，不会到你的源站。
- WAF：规则库分平台规则和租户规则，平台规则可订阅、可更新，也可以只对指定用户显示；可接入 OWASP CRS 档位、自研检测规则集等官方规则包。
- CC：按统计对象累计请求次数，超过阈值后挑战、拦截或封禁；访问量突增时自动切到更严的规则组。
- 快速屏蔽、JA4 指纹拦截、IP 黑白名单、访问控制（按 IP、域名、UA、URL 组合放行或拦截）。
怎么开通与启用
WAF 引擎、CC 防护和自定义规则随主控提供，社区版和商业版都有。
- 在“网站管理 → WAF 规则”“CC 规则”里建规则或规则集，或在“规则包”里启用已安装的官方规则包。
- 在网站编辑的“CC 防护”“WAF 防护”标签里给网站选规则集或默认防护。
- 在“自动防御”标签里设置 CC 自动切换的阈值和要切到的规则。
- 在 CC 规则的“统计”页看每条规则的命中、触发、挑战、拦截与放行次数，据此调阈值。
主要设置
| 设置 | 说明 |
|---|---|
| CC 统计对象 | 客户端 IP、客户端网段、域名、URI（含或不含参数）、TLS 指纹（JA4）、UA、Referer、指定请求头、查询参数；可选一个或两个组合 |
| CC 自动切换 | 每秒请求或每秒回源 5xx 超过阈值时切到更严的规则，持续低于阈值达恢复时间后恢复；每个节点各自统计 |
| 黑名单 / 白名单时间 | 被拉黑后持续拦截的时长；通过验证后免验证的时长 |
| 蜘蛛白名单 | 搜索引擎蜘蛛不受 CC 影响；除 UA 外还要来自所填网段，或反查域名在所填后缀下且正向解析回同一 IP |
| CRS 档位 | 只记录或拦截，按防护等级逐档增加规则；规则组开关即时生效，不重载节点 |
典型用法
- 登录接口被刷：按“客户端 IP + URI”计数，超过阈值先 JS 挑战，再失败就封禁。
- 爬虫换 IP 不换工具：按 JA4 指纹计数或直接加 JA4 拦截。
- 大促期间：开 CC 自动切换，访问量突增时自动换严格规则，回落后恢复。
限制与注意事项
- 明文 HTTP 与 HTTP/3 请求没有 JA4 指纹，按 JA4 的条件不会命中。
- JS 挑战的内置方式（等待、点击、滑块、验证码）都要求浏览器执行 JavaScript 完成一段工作量证明计算（难度可在挑战策略里调，默认在中低端手机上最坏约 0.4 秒）：能挡普通脚本和只读页面、不执行 JavaScript 的脚本，挡不住真实浏览器自动化（无头浏览器）；要更强的防护请接第三方验证（腾讯云验证码、极验）。不支持 JavaScript 的客户端过不了内置方式；滑块与验证码页面可“改用等待验证”，方便读屏用户。
- 严格档位误报明显增多，建议先用“只记录”观察，再按站点关闭误报的规则或规则组。
- 自适应 WAF（按站点真实流量自动给弱分规则加排除）只在商业版；学习与建议免费，让建议自动生效需要“自动处置”。
- 官方规则包（CRS 档位、高级 CC 规则组、自研检测规则集）在插件市场单独购买，两版都可买。