免费版WAF对SQL注入拦截能力有限是设计使然，仅覆盖基础关键字、不解析编码、不识别变形；专业版增强多层解码与上下文感知，但需手动开启规则、定期更新库并适配框架；自定义规则须精准且实测，同时需校准WAF与后端解析层级一致性。
免费版WAF对SQL注入的拦截能力有限是设计使然
宝塔免费版WAF的规则库只覆盖基础SQL关键字（如union select、and 1=1），且默认关闭高敏匹配逻辑。它不解析URL编码、不处理大小写变形、不识别内联注释/*!*/，更不会对Base64或Unicode编码载荷做解码还原。这不是Bug，而是免费版为降低误报率和CPU开销做的取舍。
常见现象包括：id=1' UnIoN SeLeCt 1,2,database()--+能过检；id=1'/*!union*/select/**/1,2,3--+直接放行；id=1%27%20or%201%3D1（URL编码后）完全无响应。
升级专业版WAF是最省事的方案，但要注意三点
专业版WAF在免费版基础上增加了上下文感知、多层解码还原、大小写不敏感匹配、内联注释识别等能力，实测可拦截90%以上的绕过变体。不过别以为装上就万事大吉：
- 必须手动开启【SQL注入】规则组下的全部子项，尤其是
延时函数检测和嵌套编码识别这两项，默认是关闭的 - 专业版仍依赖规则更新，需定期点击【更新规则库】——很多用户装完从不点这个，规则还是2025年旧版
- 若站点用的是ThinkPHP/Laravel等框架，其路由参数常带
[]或.符号，需在【高级设置】里勾选允许特殊字符在参数名中出现，否则正常请求也会被误拦
不升级也能补救：用自定义正则规则堵住高频绕过点
免费版支持在【规则管理】→【自定义规则】里添加正则，这是最灵活也最容易翻车的操作。关键不是“写得多”，而是“打得准”：
- 优先匹配特征明显、业务中极少出现的组合，例如：
匹配参数值中连续出现两个及以上单引号或双引号（正则：['"]{2,}），动作设为拦截 - 避免写宽泛规则如
.*union.*select.*，这会导致JSON接口、搜索关键词含union字样的正常请求被误杀 - 对URL编码载荷，可用
%[0-9a-fA-F]{2}匹配任意编码字符，再结合上下文限定，例如：%(27|22).*%(6f|4F).*%(72|52)粗略覆盖'or的各种编码形式 - 每加一条规则，务必用
curl -v "http://yoursite.com/?id=1%27%20or%201%3D1"实测，别只靠WAF界面的“测试”按钮——它不模拟真实请求头和编码层级
真正容易被忽略的点：WAF和后端解析顺序不一致
很多绕过成功，不是因为WAF没拦住，而是它拦了但没拦对地方。比如WAF在Nginx层解码一次URL，而PHP的$_GET又自动解码一次，导致双重解码后的payload逃逸。这时候光加规则没用，得同步检查：
- Nginx配置中是否启用了
underscores_in_headers off（影响Header注入） - PHP的
magic_quotes_gpc是否为Off（影响单引号处理） - 数据库连接层是否设置了
sql_mode=STRICT_TRANS_TABLES（影响空格/注释解析）
这些配置和WAF共同构成防护链，漏掉任何一环，自定义规则写得再密也没用。
