Bot管理 - Web Application Firewall

當業務面臨自動化工具（如指令碼、模擬器）引發的威脅時，包括資料爬取、業務欺詐、撞庫攻擊、垃圾註冊、惡意搶購及簡訊介面濫用等，建議啟用Bot管理功能。通過配置針對性的防護策略，該功能可有效緩解核心資料資產泄露及營銷活動風險，同時降低伺服器負載與頻寬成本。

說明

自 2026 年 9 月 23 日起，Agentic Bot正式上線，舊版Bot管理進入維護期。舊版使用者可繼續正常使用，現有功能不受影響。建議使用者儘早升級至 Agentic Bot，以獲得更全面的防護能力。具體資訊，請參見【公告】Web Application FirewallBot管理模組升級通知。

可以前往左側導覽列，選擇防護配置 > BOT管理，通過頁面樣式判斷目前的版本：

新版Agentic Bot	BOT管理導覽列下子標題為AI洞察、AI爬虫管控、Bot防护模板、高级自定义规则、账号安全。
舊版Bot管理	BOT管理導覽列下子標題為流量分析、AI爬虫管控、Bot防护模板、高级自定义规则、账号安全。

功能介紹

Bot管理提供以下核心功能，協助識別機器流量、防禦爬蟲風險：

AI洞察/流量分析：無需開通Bot管理即可查看流量分析的風險介面資料，包括流量走勢、存在風險的用戶端等資訊，用於快速識別和定位可能存在風險的介面。開通正式版後，可以查看更詳細的資料資訊，協助安全營運人員識別異常流量，從而配置更精細化的防護策略。
AI爬虫管控：AI爬蟲、智能體及搜尋請求等自動化程式，常通過高頻抓取網頁內容，用於模型訓練、知識庫構建及AI應用運行。實施AI爬蟲管控，可協助網站精準識別並管理此類流量，在保護智慧財產權與核心商業資料的同時，防止伺服器頻寬資源被過度消耗。
Web防护/App防护：面向Web或App業務情境，可使用Bot管理預設防護策略快速啟用基礎防護。為實現最佳防護效果，需要持續分析規則命中情況，並相應調整防護動作。
高级自定义规则：支援自訂存取控制規則、頻率控制規則和規則分類，攔截符合規則條件請求。進階自訂規則增加了更豐富的匹配條件，如Client ID、JA3/JA4指紋、Web/App SDK採集資訊等，並支援基於條件的去重統計能力。
账号安全：通過智能演算法Realtime Compute風險分數，精準識別並阻斷撞庫、暴力破解及批量機器註冊等惡意行為。該功能支援從HTTP請求的Query、Body、Header及Cookie中提取多維度身份憑證，構建統一的使用者畫像。無需手動設定複雜規則，自動防護帳號註冊與登入兩大核心情境。

適用範圍

已在接入管理頁面完成Web業務接入。
已開通WAF 3.0執行個體，且執行個體版本為隨用隨付版，訂用帳戶進階版、企業版或旗艦版，基礎版執行個體不支援Bot管理。

開通Bot管理

登入Web Application Firewall3.0控制台。在頂部功能表列，選擇WAF執行個體的資源群組和地區（中國內地、非中國內地）。
在左側導覽列，選擇防護配置 > BOT管理。

申請試用

進階版、企業版、旗艦版WAF執行個體支援7天免費試用Bot管理功能。試用結束後，系統將清空策略配置，如需保留試用期間的資料，請在試用結束前開通正式版。

前往Bot防护模板或高级自定义规则頁面，單擊申請7天免費POC。
於7天免費試用POC對話方塊中，單擊確定。

重要

進階版、企業版、旗艦版執行個體可試用Bot管理功能，每個阿里雲帳號僅提供一次試用機會。
試用期限為7天，試用結束後將自動清空Bot策略配置。如需保留試用期間的資料並繼續使用Bot管理，請在試用結束前開通正式版。

開通正式版

訂用帳戶版

在Bot防护模板或高级自定义规则頁面中，單擊立即購買。
在立即購買面板，按需開啟Agentic Bot管理-Web或Agentic Bot管理-App，並完成支付。

隨用隨付版

無需單獨配置開通。前往Bot防护模板或高级自定义规则頁面，建立模板後即視為開通。

Bot管理開通後，將產生額外費用，具體單價請參見隨用隨付計費說明。

開始使用

流量洞察：通過審查流量分析資料，識別業務環境中的風險資產及異常流量來源。
AI爬蟲管控：查看AI請求概覽與詳細資料，並一鍵執行流量處置。
Web防護/App防護：依據業務類型配置防護規則並啟用防護：網頁及H5頁面請啟用Web防護；iOS或Android原生應用請啟用App防護。
進階自訂規則：針對精細化防護需求，支援基於Client ID、JA3/JA4指紋等維度配置規則，以實現對Bot流量的精準識別與處置。

關閉Bot管理

訂用帳戶版

若不再需要使用 Bot 管理模組，可通過降配方式將對應 Bot 管理功能設定為關閉。具體操作請參見升級與降配。

隨用隨付版

若不再需要使用 Bot 管理模組，請刪除所有 Bot 管理 Web/App 防護模板及所有進階自訂規則模板。刪除完成後，Bot 管理功能將停止計費。

防護時序原理圖

以下時序圖展示了JS驗證與令牌挑戰防護模式的工作原理和請求處理流程。

JS驗證時序圖

用戶端發起請求，命中JS校正對應的規則。
WAF返回攜帶JS挑戰產生演算法的HTML頁面。
瀏覽器載入JS挑戰頁面，產生加密參數後，將其添加到Cookie中，並重新發送請求。
WAF收到響應並驗證參數是否正確：
- 如果參數正確，則表明請求由正常使用者發起，該請求將被正常轉寄至來源站點伺服器，返回來源站點響應。
- 如果用戶端未攜帶JS挑戰插入的Cookie或Cookie值不正確，則表明請求可能由指令碼工具發起，WAF將再次返回JS挑戰頁面。

令牌挑戰時序圖

用戶端發起請求，命中了動態令牌處置對應的規則。
WAF返回攜帶動態令牌的HTML頁面到用戶端。
瀏覽器載入動態令牌的HTML頁面，產生加密參數後，將其添加到請求URL的參數中並重新發送請求。
WAF收到響應並驗證參數是否正確：
- 如果參數正確，則表明請求是由正常使用者發起，該請求將被正常轉寄至來源站點伺服器，返回真實響應。
- 如果用戶端未攜帶參數或參數不正確，則表明請求可能是指令碼工具發起，WAF將再次返回動態令牌頁面。