宝塔面板的ngx_lua_waf需手动启用include luawaf.conf并重启Nginx才生效，拦截在access阶段毫秒级响应；须验证403返回及错误日志确认加载，调整init.lua参数防误杀，并配置real_ip支持CDN。
宝塔面板自带的 ngx_lua_waf 是开箱即用的高性能 WAF，但默认被注释掉，必须手动启用才能生效；它不依赖额外进程或代理，拦截发生在 Nginx access 阶段，毫秒级响应，对高并发站点友好。
修改 nginx.conf 启用 luawaf.conf
宝塔 6.x 及以上版本中，luawaf.conf 文件始终存在，但配置被注释。不改这行，WAF 就是“有引擎没点火”。
- 进入「软件商店」→ 找到已安装的
Nginx→ 「设置」→ 「配置修改」 - 在
http {区块内搜索#include luawaf.conf;（常见于第 13–25 行） - 删掉行首的
#，改为include luawaf.conf;，保存 - 立即执行
Nginx重启（不是重载），否则变更不加载
注意：部分用户误用「重载」，导致规则未加载却以为已启用——重载不会重新读取 http 块外的新 include，必须重启。
验证 WAF 是否真正生效
仅看配置文件修改成功还不够，得用真实请求触发并观察拦截行为。
- 访问测试 URL：
http://你的域名/?id=../etc/passwd，应返回 403 或空白页（取决于规则配置） - 检查 Nginx 错误日志：
/www/wwwlogs/nginx_error.log，出现类似lua entry thread aborted: runtime error: /www/server/nginx/waf/init.lua:xxx:表示 Lua 模块已加载 - 若返回 500 或页面正常打开，大概率是
luajit缺失或路径错误——宝塔编译版通常自带，但自定义编译的 Nginx 可能需重装支持 LuaJIT 的版本
别只信面板没报错就认为 OK；WAF 失效时静默放行才是最危险的状态。
调整核心防御参数避免误杀
luawaf.conf 引入的 Lua 脚本（通常是 /www/server/nginx/waf/init.lua）控制实际行为，关键参数直接影响可用性。
-
attacklog = "on"：开启后记录拦截详情到/www/wwwlogs/waf_log/，但高频写入可能拖慢磁盘 I/O，生产环境建议设为"off"或定期轮转 -
cc_attack = "on"和cc_rate = "10/60"：每分钟超 10 次请求即触发 CC 防御，对登录页、搜索页易误封，可调为"30/60"或按 URI 单独限流 -
ip_white_list = {"127.0.0.1", "192.168.1.0/24"}：务必加入运维 IP 段，否则自己调试时可能被锁死 - 修改
init.lua后必须重启 Nginx，且该文件无语法校验，一个逗号错误会导致整个 Nginx 启动失败
规则越激进，拦截率越高，但业务中断风险也同步上升；建议先在测试站跑 24 小时，再切生产。
绕过 CDN 导致的 WAF 失效问题
如果你用了 Cloudflare、腾讯云 CDN 等，WAF 看到的源 IP 是 CDN 节点 IP，ip_blacklist 和 CC 统计会完全失效。
- 确认 CDN 开启了「传递真实 IP」，并在 Nginx 配置中添加：
set_real_ip_from 103.21.244.0/22;（填你所用 CDN 的 IP 段） - 紧接其后加：
real_ip_header X-Forwarded-For;或X-Real-IP（依 CDN 实际头而定） - 确保这些指令放在
http{块顶部，早于include luawaf.conf;，否则 WAF 读不到真实 IP - 宝塔界面中的「网站」→「设置」→「配置修改」里加 CDN 兼容配置无效——WAF 规则在全局 http 层，必须写在主配置里
没配 real_ip 的 WAF，就像戴着墨镜查身份证，看得见人，认不出脸。
