waf深度内容识别需协同流量解析、规则匹配与业务上下文，涵盖深度反逃逸、header全检测、webshell检测、语义化防护及bot行为分析。
直接在 Web 应用防火墙（WAF）中启用深度内容识别检测，不是打开某个开关就能生效的事——它依赖于流量解析粒度、规则匹配逻辑和业务上下文的协同。核心在于让 WAF 不只看 URL 和参数名，而是真正“读懂”请求体、Header、Cookie 甚至响应内容里的语义特征。
启用深度反逃逸与 Header 全检测
常规检测只能识别明文攻击载荷，而真实攻击常通过编码、分块、大小写混淆、空字节插入等方式绕过。深度反逃逸检测能还原常见编码（如 URL 编码、Unicode、Base64、HTML 实体），再做规则匹配；Header 全检测则会扫描所有 HTTP 头字段（包括自定义头如 X-Forwarded-For、User-Agent、Referer），防止攻击者藏 payload 在非标准位置。
- 在 WAF 控制台进入「防护策略 → Web 基础防护 → 高级设置」
- 勾选「深度反逃逸检测」和「Header 全检测」
- 注意：这两项会增加约 15%~20% 的 CPU 开销，建议先在「仅记录」模式下运行 3–5 天，观察日志中是否出现新增的高置信度攻击命中
配置 Webshell 检测与响应体分析
Webshell 往往不走显眼路径，而是伪装成图片、JS 或 CSS 文件上传后执行。仅靠文件后缀或路径拦截极易失效。深度内容识别需结合：
-
上传接口专项检测：对 POST 请求中 multipart/form-data 类型的 body 进行脚本特征扫描（如 PHP 的
eval(、system(、base64_decode变形） -
响应体关键字匹配：对返回 HTML/JSON 中包含的敏感函数调用、命令执行痕迹（如
uid=、whoami、phpinfo()输出片段）进行采样分析 - 华为云 Stack WAF 1.6.0+ 版本支持开启「通过上传接口植入的网页木马」检测项，需在高级设置中单独启用
适配业务语义的防护等级与自定义规则
“深度识别”不等于“越严越好”。过度严格的默认规则会导致大量误报，尤其在含动态参数、富文本编辑器、JSON API 的场景中。
- 初始阶段务必使用「中等」防护等级 + 「仅记录」模式，持续观察 7–10 天攻击日志与业务访问日志的重叠情况
- 针对高频误报点（例如某接口接收 Base64 编码的图片数据），添加精准白名单：按 URL 路径 + HTTP 方法 + 请求头特征（如 Content-Type: application/json）组合排除
- 对关键业务接口（如支付回调、用户资料修改），可单独创建子策略，启用「严格」等级 + 自定义正则规则（例如检测 JSON body 中是否存在
"cmd":"exec"类字段）
结合 BOT 场景化策略强化行为理解
纯静态内容识别无法区分“爬虫批量抓取商品价”和“用户正常比价”。深度识别必须叠加行为维度：
- 在 WAF 的「BOT 与业务安全」模块中，为登录页、秒杀接口、价格查询 API 分别创建对应场景
- 启用「客户端风险识别」（前端 JS 指纹采集）和「会话管理」（解析 Cookie 或 Token 中的 session ID），实现同一 IP 下多用户行为分离
- 将 AI 策略的动作分数与 Web 内容检测结果联动——例如：XSS 特征命中 + 用户行为分低于阈值 → 直接拦截；同样特征但行为分高 → 仅记录并增强验证（如弹出滑动验证）
