关闭 proxy_request_buffering 后 waf 规则易失效，因 waf 依赖 nginx 完整缓存并解析请求体，而 off 模式下请求体直通后端导致 waf 失去 body 可见性。
关闭 proxy_request_buffering 后，WAF 规则（尤其是基于请求体内容的检测规则）容易失效，根本原因是：WAF 通常依赖 Nginx 完整缓存并解析整个请求体（如 Content-Length 校验、JSON/XML 解析、恶意 payload 扫描），而 off 模式下请求体以原始 TCP 流形式直通后端，WAF 失去对 body 的可见性与控制权。
为什么 WAF 会“看不见”请求体
多数 Web 应用防火墙（包括云厂商 WAF 和自建 ModSecurity）默认在 Nginx 的 access_phase 或 content_phase 阶段介入，此时它依赖 Nginx 已完成请求体读取和标准化（例如解析 multipart、解 chunked、校验长度）。一旦 proxy_request_buffering off，Nginx 不再等待或拼装 body，WAF 就只能看到 headers，body 则被直接推给 upstream——相当于“门开着，人直接冲进去了，守门人还没来得及查包”。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
关键修复方向：让 WAF 仍能触达完整请求流
- 前置 WAF 部署位置：将 WAF 放在 Nginx 前面（即客户端 → WAF → Nginx → 后端），确保所有原始请求（含未缓冲 body）首先进入 WAF 检测。这是最彻底的解法，避免 Nginx 缓冲行为干扰 WAF 视角。
-
启用 WAF 的流式检测能力：确认所用 WAF 是否支持“流式 body inspection”或“chunked-aware scanning”。例如阿里云 WAF v1.5+、Cloudflare WAF 的
http.request.body规则可处理分块上传；ModSecurity 3.x 配合SecStreamInBodyInspection On可启用逐块扫描。 -
禁用依赖完整 body 的规则类型：临时停用以下易失效规则：
– 基于完整 JSON/XML 结构解析的 SQLi/XSS 规则
– 依赖Content-Length精确匹配的异常检测
– 文件魔数（magic bytes）校验类规则（因 body 分片到达，首片未必含文件头）
兼容性配置：降低 WAF 误判风险
即使无法调整 WAF 位置或能力，也可通过 Nginx 配置减少冲突：
-
显式透传原始传输特征：添加
proxy_set_header X-Original-Transfer-Encoding $sent_http_transfer_encoding;和proxy_set_header X-Original-Content-Length $http_content_length;，供 WAF 回溯判断传输方式。 -
保留必要 header 透传：确保
Range、If-Range、Content-Type、Content-Disposition全部透传，避免 WAF 因缺失上下文误放行分块上传中的危险片段。 -
配合 WAF 的 bypass 白名单机制：对已知安全的大文件上传路径（如
/api/upload），在 WAF 控制台配置 URL 级别规则跳过 body 检测，仅保留 header 层防护（如 UA、Referer、IP 限速等）。
验证是否真正绕过 WAF 检测盲区
不要只看 Nginx 日志。需同步检查：
- WAF 控制台的“攻击日志”中，对应请求是否缺失 body 相关规则命中记录；
- 抓包对比：客户端发出的完整 POST body vs. WAF 入口处收到的 body（可用 WAF 提供的镜像流量功能）；
- 在 WAF 后、Nginx 前部署一个调试代理（如 mitmproxy），确认其能否捕获到完整 body 流。
