内容摘要：```html 阿里云web应用防火墙不让访问 body { font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Robo

```html

阿里云web应用防火墙不让访问

上周三下午，同事在群里甩了张截图：客户的云w应用后台管理系统突然打不开了。浏览器转圈半天，防火最后蹦出来一个冷冰冰的让访“403 Forbidden”。客户急得不行，阿里说上午还好好的云w应用，中午吃个饭回来就进不去了。防火我们第一反应是让访服务器挂了，登上去一看，阿里Nginx活得好好的云w应用，CPU、防火内存都正常。让访再看阿里云控制台，阿里WAF的云w应用拦截日志密密麻麻，全是防火客户自己的IP。

这就是典型的阿里云Web应用防火墙（WAF）误拦截。你什么都没改，它自己就抽风了。

WAF这东西，原理说白了就是个高级过滤器。它蹲在你的服务器前面，所有进来的请求先过它那一关。它手里有一堆规则，什么SQL注入特征、XSS跨站脚本、恶意爬虫、CC攻击……看着像坏人的，直接拦掉。问题是，有些正常请求长得也像坏人。比如客户系统里有个搜索框，用户搜了个“1' or '1'='1”，这明显是在测试SQL注入，WAF拦得理直气壮。但有时候用户只是搜了个“