概述
直接把 WAF 切到拦截，会因未调优的规则误伤正常请求。先以检测模式收集并按真实流量分类，对确认的误报做窄范围例外而非全局禁用，再切拦截并持续观察，可让保护生效而不打断业务。
关键步骤
- 以检测或计数模式启用 WAF。
- 分类发现，区分真实攻击与误报。
- 对确认误报调优规则或添加窄范围例外。
- 切换到拦截并监控漏拦与新增误报。
验证
- 先前确认的误报不再触发。
- 已知攻击载荷被拦截。
- 例外有负责人与复核日期。
- 规则集版本有记录。
决策点
应以限定路径与模式的窄例外替代全局禁用规则；任何例外都应设过期与复核，避免成为被遗忘的缺口。
适用范围
本条目围绕「WAF 规则调优工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
curl -s "https://app.example.com/search?q=1%27+OR+1%3D1--" -o /dev/null -w "%{http_code}\n"
# should be blocked (403) once blocking mode is enabled