1. 目标与总体架构概述
本文目标：在不影响线上业务访问的前提下，通过腾讯云 WAF（云 Web 应用防火墙）实现对 API 的精确防护并与现有业务无缝对接。总体架构：客户端 -> CDN（可选）-> 腾讯
云WAF（CNAME/透明代理）-> 业务后端 / API 网关。要点：流量接入方式、规则分层（网关+WAF）、灰度与回退机制、日志与告警联动。
2. 开始前的准备工作
准备项：1) 已注册腾讯云账户并完成实名认证；2) 确认有可管理域名的 DNS 权限；3) 准备好业务回源地址（IP或CNAME）；4) 评估现有 API 路径与流量峰值；5) 若需自动化，准备腾讯云 API 密钥或角色权限（CAM）。
3. 选择接入模式与域名接入策略
接入方式：1) CNAME 接入（推荐对外域名走WAF）；2) 透明代理（仅转发流量）；3) 直通（仅做监控）。操作建议：新域名采用CNAME，既能实现防护又便于回退；对内网/API 网关，可在网关前放置WAF或在网关后进行二次防护。
4. 在控制台开通云 WAF 实例
步骤：登录腾讯云控制台 -> 安全 -> Web 应用防火墙（云 WAF）-> 点击“立即购买/开通” -> 选择地域与规格 -> 完成实例创建。完成后进入“域名管理”进行添加域名，填写域名、回源地址、接入方式（CNAME/回源自定义）。保存并按照控制台提示添加 CNAME 记录到 DNS。
5. 绑定域名并验证流量回源
步骤：控制台域名管理里点击“接入配置”-> 填写回源协议、回源地址、回源端口 -> 应用并获取 CNAME 地址 -> 在 DNS 服务商添加 CNAME 指向腾讯云提供的接入域名 -> 等待 DNS 生效并在控制台检查“健康检查/回源状态”确保 200 返回。
6. 基础防护策略配置（WAF规则组）
操作：控制台 -> 防护策略 -> 选择或创建策略集 -> 开启常见漏洞防护（XSS、SQL注入、命令注入）、启用 CC 防护和 Bot 管控。建议先使用“检测模式”观察1-3天流量与误报，再切到“阻断模式”。记录初始误报规则以便回退。
7. 针对API的精细化规则配置
步骤示例：在自定义规则页面创建规则；条件可基于 URI、请求方法、Content-Type、请求体大小、JSON 结构字段等；动作设为“限速/拦截/告警”。示例：当 URI 匹配 /api/v1/* 且 Content-Type 为 application/json 时，对单 IP 实行 200r/m 的速率限制并在超过后返回 429。
8. 自定义正则与匹配示例
示例规则：阻断常见 SQL 注入语法：请求体或参数匹配正则 (?i)(\bunion\b|\bselect\b|\binformation_schema\b|sleep\(|benchmark\() 时阻断；针对文件上传API，检查 Content-Type 与扩展名一致性，且限制文件大小。在控制台“自定义规则”输入正则并选择适用域名与策略优先级。
9. 与 API 网关、认证系统的联动
做法：1) 在 API 网关层做身份鉴权（签名/Token），WAF 做行为与内容防护；2) 将 WAF 与 API 网关日志对接，按请求 ID 关联；3) 使用回溯字段（如 X-Request-Id）确保可追溯。实现方式：在网关返回 header 中携带请求 ID，WAF 在日志中保留该 header。
10. 日志采集、告警与排查流程
步骤：控制台 -> 日志与监控 -> 将 WAF 日志推送到 CLS（日志服务）或 SLS；配置指标告警（如拦截率、异常请求增长）到云监控并关联邮件/SMS/飞书/钉钉告警。建立排查 SOP：收到告警 -> 在 CLS 搜索请求 ID/URI -> 判断是否误报 -> 临时下线规则或放行。
11. 灰度、回退与自动化部署
灰度流程：1) 在非峰时将策略设为“检测”并观察；2) 对部分 IP 段或子域名先启用阻断；3) 使用腾讯云 API 或 SDK（如 Python/Go SDK）实现规则下发、回滚脚本；4) CI/CD 中加入规则变更审批与回放测试。回退只需通过 API/控制台将规则设为检测或删除。
12. 运维与性能优化建议
建议：1) 合理使用缓存与 CDN 缓解 WAF 压力；2) 通过白名单放行可信内网或固定调用方 IP；3) 对大流量接口做限流并在网关侧返回友好错误码；4) 定期审计自定义规则与误报记录，更新正则库；5) 结合业务指标（错误率、延迟）评估防护影响。
13. 问：上线 WAF 后如何避免对业务的误伤？
答案：先使用“检测模式”观察 3-7 天，基于 CLS 日志筛查误报请求，针对误报调整规则优先级或添加白名单；对关键业务先做灰度（只对一部分流量阻断），并保留回退方案（控制台一键切回检测/下线规则）。同时在上线前完成压测确认性能影响。
14. 问：如何把 WAF 规则变更纳入自动化发布流程？
答案：使用腾讯云提供的 API/SDK 或 Terraform 管理 WAF 资源。把规则文件纳入代码仓库，CI 流水线执行自动化测试（模拟攻击流量到测试域名），测试通过后通过脚本调用云 API 批量下发规则并触发灰度路由，最后人工确认并切换为阻断。
15. 问：API 特有的攻击（如滥用接口、速率型攻击）如何用 WAF 有效防护？
答案：结合 WAF 的速率限制与行为分析：为单 IP/签名/API Key 设置阈值并触发限流或挑战；启用 Bot 管理检测爬虫与异常 UA；配合 API 网关鉴权（签名/Token）和异常调用监测（短时间重复调用），对恶意客户端进行黑名单并在 CLS 中建立回溯链路以便长期封禁或规则优化。
来源：如何通过腾讯云waf 实现API防护 与业务无缝对接方案
