登录云盾WAF控制台，云盾应用点开“防护配置”里的防火“白名单”选项，大概率你会先愣一下——空的白名。不是单找没配，是云盾应用入口藏得有点深。去年帮一个电商客户排查误拦截，防火他们的白名运维把整个控制台翻了三遍才找到地方。这事不复杂，单找但路径确实绕。云盾应用

先说Web应用防火墙（WAF）的防火白名单到底在哪。阿里云云盾WAF分两个版本：旧版控制台和新版控制台，白名入口不一样。单找旧版在“防护配置” → “HTTP防护” → “白名单”，云盾应用新版挪到了“防护策略” → “访问控制” → “白名单规则”。防火如果你用的白名是包年包月实例，还得先确认当前选中的是哪个域名，白名单是按域名维度生效的，选错域名等于白配。

腾讯云那边叫“Web应用防火墙”，白名单入口在“防护配置” → “访问控制” → “IP白名单”。AWS WAF逻辑不同，它用IP Set配合规则组，没有单独的“白名单”菜单，得先建IP Set再绑到Rule里放行。华为云WAF的白名单在“防护策略” → “黑白名单” → “白名单”。每家云厂商的叫法和路径都不一样，这是第一个坑。

第二个坑更隐蔽。很多人以为把IP加进白名单就万事大吉，其实WAF的白名单通常只对“IP+域名”的组合生效。比如你加了办公网出口IP到白名单，但请求走的是另一个域名，照样被拦。有个做SaaS的团队就栽在这上面——他们白名单加了负载均衡的IP，忘了WAF前面还有一层CDN，回源IP和客户端IP根本不是一回事。

怎么确认白名单有没有生效？别只看控制台显示“已启用”。最直接的办法是用curl带真实IP去请求被拦截的URL，看返回码是不是从403变成200。或者看WAF日志里的“命中规则”字段，如果显示“白名单放行”才算真正生效。日志里如果还是“规则拦截”，说明白名单优先级没排对——部分云厂商的白名单规则优先级低于自定义规则，你得手动调顺序。

还有一种情况：白名单加了，但特定URL还是被拦。这通常是因为WAF的“精准白名单”和“全局白名单”作用域不同。全局白名单对所有域名生效，精准白名单只对指定域名+路径生效。如果你只加了全局IP白名单，但某个防护规则是“路径匹配”触发的，IP白名单不一定能覆盖。得去“规则白名单”里单独放行那条规则。

实操建议：先确认WAF版本和控制台路径，再确认白名单作用域（全局/域名/规则），然后用curl验证，最后看日志确认命中。四步走完，基本不会漏。别嫌麻烦，WAF这东西配置错了比不配还危险——要么误拦正常流量，要么放行攻击请求。白名单不是加完就完事，得验证。

另外提一句，部分云厂商的白名单有数量限制。阿里云旧版WAF每个域名最多支持100条IP白名单，新版提升到500条但需要提工单。如果你要加整个办公网段，建议用CIDR格式而不是逐条IP，省配额也省事。