Web Application Firewall：擴充外掛程式

HTTP請求樣本

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 68
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0=

讀取請求資料

所有介面傳回值為字串類型，欄位不存在時返回Null 字元串。

讀取method

-- POST --
local method = aliwaf.req.get_method()

讀取uri

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

讀取網域名稱

-- shop.example.com --
local domain = aliwaf.req.get_domain()

讀取query

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

讀取query parameter

-- web --
local source = aliwaf.req.get_arg('source')

讀取cookie

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

讀取header

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

讀取body

判斷請求body狀態

• body是否已經收完

  專案	類型	說明
  參數	-	-
  傳回值	boolean	true 表示請求 body 已全部收完；false 表示仍有資料未到達。

  local last = aliwaf.func.is_last_fragment_arrived()

• body是否被截斷

  專案	類型	說明
  參數	-	-
  傳回值	boolean	true 表示請求體超出限制被截斷；false 表示請求體完整保留。 WAF預設最多儲存128K的請求體，超過了會被截斷（超過部分丟棄不儲存）。

  local discard = aliwaf.func.is_request_body_discarded()

等待body

請求體以流式方式到達 WAF，指令碼執行時 body 可能尚未接收完成。如需處理完整 body，需顯式通知架構等待 body 接收完畢後再次執行指令碼。

aliwaf.func.wait_request_body()

讀取請求body案例

-- body未收完, 等待body --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- body已經收完, 判斷是否被截斷 --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO:對完整body做商務邏輯 --

通用工具函數

基礎編解碼

url、hex、base64三類編解碼介面接收字串參數並返回處理後的字串，操作失敗時返回Null 字元串。

url編解碼

• escape_uri

  專案	類型	說明
  參數	string	待編碼的原始字串。
  傳回值	string	編碼後的字串。

• unescape_uri

  專案	類型	說明
  參數	string	待解碼的 URL 編碼字串。
  傳回值	string	解碼後的原始字串。

-- a%20b --
local data1 = aliwaf.util.escape_uri('a b')

-- a b --
local data2 = aliwaf.util.unescape_uri('a%20b')

hex編解碼

• hex_encode

  專案	類型	說明
  參數	string	待編碼的二進位字串。
  傳回值	string	大寫十六進位編碼字串。

• hex_decode

  專案	類型	說明
  參數	string	待解碼的十六進位字串。
  傳回值	string	解碼後的原始字串；輸入非法時返回Null 字元串 ""。

-- DEADBEEF --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

base64編解碼

• base64_encode

  專案	類型	說明
  參數	string	待編碼的原始字串。
  傳回值	string	Base 64 編碼後的字串。

• base64_decode

  專案	類型	說明
  參數	string	待解碼的 Base64 字串。
  傳回值	string	解碼後的原始字串；輸入非法時返回Null 字元串 ""。

-- aGVsbG8= --
local data1 = aliwaf.util.base64_encode('hello')

-- hello --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

MD5/CRC/SHA

• md5

  專案	類型	說明
  參數	string	待計算的原始字串。
  傳回值	string	32 位小寫十六進位格式的 MD5 摘要。

• sha256

  專案	類型	說明
  參數	string	待計算的原始字串。
  傳回值	string	64 位元小寫十六進位格式的 SHA-256 摘要。

• crc32

  專案	類型	說明
  參數	string	待計算的原始字串。
  傳回值	integer	CRC32 校正值（無符號 32 位整型）。

-- 5d41402abc4b2a76b9719d911017c592= --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 --
local crc = aliwaf.util.crc32('hello')

加解密（AES/DES）

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

加簽驗簽（ES256）

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

時間

-- 當前毫秒級時間戳記（整型）--
local timestamp = aliwaf.util.get_current_ms()

業務輔助函數

業務輔助函數用於Lua和WAF架構進行協作。

處置

-- 根據預先選定的動作處置當前請求 --
aliwaf.func.punish()