WAF规则配置是Web应用防火墙（WAF）的核心，它决定了哪些请求会被拦截、放行或挑战。在XSS攻击防护中，WAF规则配置的优劣直接影响防护效果。本文将从典型攻击场景出发，讲解如何配置WAF规则，识别并拦截常见XSS攻击模式。
典型场景：反射型XSS攻击
攻击者构造包含恶意脚本的URL，诱导用户点击。当用户请求该URL时，服务器将恶意脚本反射到响应页面中。例如：https://example.com/search?q=<script>alert('xss')</script>。WAF需要识别并拦截这类请求。配置时，可基于签名匹配，检测URL参数中的<script>标签、事件处理器（如onerror）等特征。Cloudflare的托管规则集（Managed Rulesets）包含OWASP核心规则集，能有效拦截此类攻击。
配置步骤：基于签名的规则
在Cloudflare WAF中，可创建自定义规则（Custom Rule）。规则包含表达式和动作。例如，要拦截包含<script>的请求，可配置如下表达式：
(http.request.uri.query contains "<script>")动作为“Block”。但签名匹配存在误报和绕过风险，攻击者可能使用编码、大小写混淆等技巧。因此，建议结合行为分析，如异常请求频率、User-Agent等。
存储型XSS：规则配置的挑战
存储型XSS将恶意脚本持久化存储在服务器端，如评论、用户资料等。WAF在请求入口拦截，但若攻击者将恶意代码提交到服务器，WAF需要识别提交内容中的危险载荷。配置时，可对POST请求体进行内容检查。Cloudflare的托管规则集包含对常见XSS载荷的检测。但需注意，WAF无法覆盖所有变种，需结合输入过滤和输出编码。
利用Cloudflare DDoS防护联动
XSS攻击常伴随着DDoS攻击，攻击者可能使用分布式代理发送大量恶意请求。Cloudflare的DDoS防护可自动检测并缓解L3/4和L7攻击，其托管规则集可自定义。通过启用DDoS防护，可减轻WAF的压力，避免WAF在洪峰下失效。配置时，可调整DDoS规则的敏感度，如对高流量攻击启用“Under Attack”模式。
利用Workers实现边缘防护
对于WAF规则难以覆盖的复杂场景，可使用Cloudflare Workers编写自定义逻辑。Workers是Serverless平台，可在边缘运行JavaScript代码，检查请求和响应。例如，可编写Worker对请求参数进行解码、过滤，甚至调用外部API进行威胁情报查询。但需注意，Worker代码需自行维护，可能增加复杂度。
缓存与WAF的协同
缓存可以减少WAF处理的请求量，但可能缓存恶意内容。Cloudflare默认缓存静态资源，但动态请求需配置Cache Rules。若WAF拦截了某个请求，缓存不会存储该响应。但若攻击者绕过WAF将恶意内容缓存，可能影响其他用户。因此，配置缓存时，应确保动态内容不被缓存，或使用“Cache Deception Armor”等功能。Cloudflare的缓存文档提供了详细的配置指南。
常见误区与失败条件
误区一：依赖单一规则。只配置签名规则，易被绕过。应结合行为分析和托管规则集。误区二：忽略误报。过于严格的规则可能拦截正常请求，影响用户体验。需定期审查日志，调整规则。误区三：不更新规则。攻击手法不断演变，需定期更新托管规则集。失败条件包括：未启用WAF、规则顺序错误、未覆盖所有入口（如API、子域）等。
总结
WAF规则配置是拦截XSS攻击的关键。通过结合签名匹配、行为分析、托管规则集和边缘计算，可有效提升防护能力。但WAF并非万能，需配合输入过滤、输出编码等安全实践。配置时，应基于实际场景，持续调优，并关注官方文档。
参考资料
延伸阅读