全部产品
Search

搜索本产品

    Web 应用防火墙：策略配置

    文档中心

    Web 应用防火墙：策略配置

    更新时间：Oct 22, 2026

    本文介绍了Agentic API安全的内置策略及自定义策略配置。在内置检测机制的基础上，Agentic API安全支持自定义符合业务特征的检测策略。您可以进行风险检测配置、安全事件配置、敏感数据配置、鉴权凭据配置、业务用途配置、白名单配置、生命周期管理、日志订阅和生效对象配置，使得识别出的API数据更符合您的实际业务情况，进一步提高Agentic API安全检测的准确率与召回率，帮助您结合业务情况进行相应处置，降低API业务资产遭受攻击带来的损失。

    进入控制台

    1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

    2. 在左侧导航栏，选择防护配置 > API安全。

    3. 单击策略配置页签。

    一、风险检测配置

    风险指接口因开发缺陷，或管理、配置缺陷而产生的安全风险或安全隐患。安全风险与安全事件的区别在于：安全风险不一定表示已发生攻击，安全事件则表示已发生攻击并触发告警。

    WAF 提供内置策略与自定义策略。若内置策略无法满足业务需求，可配置自定义策略。

    内置策略

    在 策略配置 > 风险检测配置 页签中，可查看已配置的风险策略。内置策略默认全部开启，支持修改其开启状态并调整风险等级。可根据业务需求，将内置策略的风险等级设置为“低危”、“中危”或“高危”。

    自定义策略

    除内置策略外，风险检测配置最多支持创建 20 条自定义策略。

    1. 进入策略配置 > 风险检测配置页签。

    2. 在左侧自定义策略区域单击新增，在弹出的面板中完成以下配置。

      配置项名称

      说明

      风险名称

      设置便于识别的自定义风险名称。

      处置建议

      根据业务情况设置自定义风险策略的处理建议。

      风险等级

      支持设置为低危、中危、高危。

      检测设置

      设置自定义风险策略的检测条件，最多支持 10 个条件。

      填写匹配字段、逻辑符与匹配内容，匹配内容最多可输入 50 个，按回车键确认。风险检测配置的匹配内容大小写敏感。

      具体支持的配置，请参见匹配条件说明（风险检测与安全事件）。

    二、安全事件配置

    安全事件指接口发生异常调用或攻击行为，例如登录接口遭受爆破攻击、短信发送接口被滥用进行短信轰炸等。事件检测以 IP 与账号为检测维度。

    WAF 提供内置策略与自定义策略。若内置策略无法满足业务需求，可配置自定义策略。

    内置策略

    安全事件的内置策略触发告警后，若攻击持续，不会产生新的告警，但原有告警的攻击时间会随之更新，事件告警等级也会根据攻击量等情况发生变化。

    在 策略配置 > 安全事件配置页签中，可查看内置的安全事件策略。内置策略默认全部开启，支持修改其开启状态并调整事件等级。

    自定义策略

    除内置策略外，安全事件配置最多支持创建 10 条自定义策略。

    1. 进入 策略配置＞安全事件配置 页签。

    2. 在左侧自定义策略 区域单击 新增，在弹出的面板中完成以下配置。

      配置项名称

      说明

      事件名称

      设置便于识别的自定义事件名称。

      处置建议

      根据业务情况设置自定义安全事件的处理建议。

      事件等级

      支持设置为低危、中危、高危。

      匹配条件

      设置自定义安全事件策略的匹配条件，最多支持 10 个条件。

      具体支持的配置，请参见匹配条件说明（风险检测与安全事件）。

      频率控制

      设置统计对象为IP或账号；统计周期以分钟为粒度，最大可设置为15分钟；请求量仅支持设置为正整数。

      数据统计

      设置自定义安全事件策略的统计条件，最多支持 10 个条件。

      具体支持的配置，请参见数据统计说明（安全事件）。

    说明

    • 匹配内容最多可输入 50 个，按回车键确认。

    • 若定义了多个条件，需同时满足所有条件才会命中规则。

    • 安全事件配置的匹配内容大小写敏感。

    三、敏感数据配置

    WAF 支持内置与自定义两种敏感数据类型识别。内置类型默认开启，仅支持启停；若内置类型无法满足业务需求，可配置自定义类型（最多 20 条）。

    内置敏感数据类型

    进入 策略配置 > 敏感数据配置 > 内置敏感数据类型 页签查看。系统内置策略默认全部开启，不支持编辑、修改或删除，仅支持切换开启或关闭状态。

    自定义敏感数据类型

    进入 策略配置 > 敏感数据配置 > 自定义敏感数据类型 页签，单击 新建策略，在弹出页面完成以下配置：

    配置项

    说明

    名称

    为该规则设置一个名称。

    模式

    设置自定义策略的检测模式。

    • 简易模式：提供简易的配置界面，便于操作。

      选择简易模式后，需要设置检测的字符和长度。

      • 字符：支持检测数字、大写字母、小写字母，可多选。

      • 长度：支持检测的长度范围为6~64，且起始值和结束值需为整数。

    • 专家模式：填写检测的正则表达式。为避免误识别，请确保正则匹配的命中字符不少于6位。

    等级

    设置检测的敏感数据的等级。可选项：S1、S2、S3、S4。

    说明

    关于敏感数据类型的详细信息，请参见Agentic API安全支持检测哪些敏感数据？

    脱敏展示

    敏感数据配置页签提供脱敏展示开关，默认关闭，不进行数据脱敏。开启后，将对以下信息进行脱敏处理：

    脱敏规则

    • 风险详情与 API详情：请求样例和响应样例中的敏感数据，默认替换为占位符 {{Phone}}。

    • 安全事件的事件详情：包含敏感数据的请求数据样例和响应数据样例，统一脱敏展示为 {}。

    • 特定字段脱敏：

      • Request Cookie 脱敏为 {{Cookie}}

      • 含 Token 的 Request Header 脱敏为 {{XXXToken}}

      • Response SetCookie 脱敏为 {{SetCookie}}

    生效范围

    • 风险详情与 API详情：仅对新增的请求和响应数据样例生效。

    • 安全事件的事件详情：对新增及存量的请求和响应数据样例均生效。

    四、处置策略配置

    处置策略配置页签支持以下功能。

    • Schema校验：基于 API 资产已配置的 Schema（接口契约规范），对实际请求与响应进行校验。WAF 运行时将实际请求、响应与 Schema 定义进行比对，识别不符合接口规范的请求，并按模板中配置的处置动作进行处理，以提前发现异常调用与接口滥用。

    • API实时脱敏：基于AI基线引擎的智能防护功能，能够自主学习API结构并实时识别敏感数据，实现细粒度的自动脱敏。该功能无需人工预定义字段，可灵活适配复杂业务场景，满足数据跨境等合规需求，实现全自动实时防护。

    Schema校验

    说明

    配置Schema校验前，请先在资产管理页签为API资产配置Schema。

    在策略配置 > 处置策略配置页签，单击左侧列表的Schema校验，然后单击新建模板配置校验模板。

    • 模板名称：设置一个便于识别的模板名称。

    • 规则配置：单击新建规则配置具体的校验规则，支持配置多个规则。

      • 规则名称：设置一个便于识别的规则名称。

      • 校验明细：支持Method、Path参数、Query参数、Header参数、Cookie参数多选。未勾选的校验类型不参与校验。

        • Method：校验实际请求方法是否与 Schema 定义一致。

        • Path参数、Query参数、Header参数、Cookie参数：分别校验对应位置的请求参数是否符合 Schema 定义（包括必填性、类型、格式和取值约束）。

      • 数据处理方式：支持观察与拦截。

        • 观察：不拦截命中规则的请求，仅通过日志记录请求命中的情况。在试运行规则时，可以先通过观察模式分析WAF日志，以确认未产生误拦截，再将其调整为其他规则动作。

        • 拦截：拦截命中规则的请求，并向发起请求的客户端返回拦截响应页面。WAF默认使用统一的拦截响应页面，也可以通过自定义响应功能，自定义拦截响应页面。

    • 生效对象：指定规则适用的 API 资产，每个生效对象仅允许配置一个校验模板。

    API实时脱敏

    在策略配置 > 处置策略配置页签，单击左侧列表的API实时脱敏，然后单击新建模板配置脱敏模板。

    • 模板名称：设置一个便于识别的模板名称。

    • 脱敏规则配置：单击新建规则配置具体的脱敏规则，支持配置多个规则。

      • 规则名称：设置一个便于识别的规则名称。

      • 敏感数据类型：勾选需脱敏的数据类型，仅支持系统内置的敏感数据类型。

      • 匹配条件：设定触发规则的 HTTP 条件，支持配置 0 到 5 个条件。若未配置任何条件，则规则将在所有 HTTP 请求下触发。

        说明

        若规则包含多个条件，则请求必须满足所有条件（逻辑与关系），才能命中该规则。关于匹配字段和逻辑符的详细说明，请参见匹配条件说明。

      • 数据处理方式：支持以下两种处理方式。

        • 脱敏：对数据进行脱敏，需继续设置具体脱敏动作，支持置空与掩码。

        • 观察：不进行脱敏，仅记录日志。

    • 生效对象：指定规则适用的 API 资产，每个生效对象仅允许配置一个脱敏模板。

    模板新建完成后，需等待 10 至 20 分钟，脱敏规则方可对新接入的生效对象生效。如需查看 API 脱敏日志，请前往安全报表页面。

    日常运维：针对已创建的模板，支持执行以下管理操作。

    • 配置模板与规则开关，以启用或禁用其生效状态。

    • 为模板新增规则。

    • 编辑模板与规则的信息。

    • 删除模板与规则。

    五、鉴权凭据配置

    WAF 提供内置鉴权凭据识别与自定义鉴权凭据配置。若业务使用非常规字段或特征较弱的字段（如纯数字）作为鉴权凭据，可新建自定义策略，以提升 API 安全防护及未鉴权风险识别的准确率。操作步骤如下：

    1. 进入 策略配置 > 鉴权凭据配置 页签。

    2. 单击新建策略，并完成如下配置。

      配置项

      说明

      名称

      设置一个便于识别的策略名称。

      匹配条件

      每个条件由匹配字段、逻辑符和匹配内容组成，最多支持 10 个条件。配置时至少需添加一个请求 Header、请求 Cookie、请求 Query 或请求 Body 的匹配条件。多个条件之间为"与"关系，需同时满足才命中规则。

      匹配内容配置：最多可输入 50 个匹配内容，按回车键确认。鉴权凭据配置的匹配内容大小写敏感，具体配置参见匹配条件说明（鉴权凭据配置）。

    六、业务用途配置

    WAF 提供内置策略与自定义策略。若内置策略无法满足业务需求，可配置自定义策略，以提升 Agentic API 在具体业务场景中的检测准确率。

    内置策略

    进入 策略配置 > 业务用途配置 > 内置策略 页签查看，包含数据更新、数据分享、手机短信发送、信息发送等。系统内置策略默认全部开启，不支持编辑、修改或删除，仅支持切换开启或关闭状态。

    自定义策略

    1. 进入策略配置＞业务用途配置>自定义策略页签。

    2. 单击新建策略并完成如下配置。

      配置项

      说明

      名称

      设置一个便于识别的策略名称。

      匹配条件

      每个条件由匹配字段、逻辑符和匹配内容组成，最多支持 10 个条件。

      匹配内容配置：最多可输入 50 个匹配内容，按回车键确认。业务用途配置的匹配内容大小写敏感，具体配置参见匹配条件说明（业务用途配置）。

    七、白名单配置

    Agentic API 安全支持自定义配置风险检测与安全事件白名单，帮助结合业务实际情况过滤无需关注的告警（如办公网络出口 IP 产生的告警），提升业务运营效率。

    说明

    当前仅支持配置风险检测和安全事件白名单。

    1. 进入策略配置＞ 白名单配置页签。

    2. 单击新建策略并完成以下配置。

      配置项

      说明

      名称

      设置一个便于识别的策略名称。

      类型

      选择风险检测或安全事件白名单。

      匹配条件

      每个条件由匹配字段、逻辑符和匹配内容组成，最多支持 10 个条件。

      匹配内容配置：最多可输入 50 个匹配内容，按回车键确认。白名单配置的匹配内容大小写敏感，具体配置参见匹配条件说明（白名单配置）。

      不检测类型

      从内置或自定义策略中选择需要排除检测的风险检测或安全事件类型，支持多选。

    八、生命周期管理

    Agentic API 安全支持通过设置日访问量与持续时间，自定义失活接口的判断标准，使失活 API 检测更贴合业务实际情况。API 生命周期管理可帮助识别符合自定义标准的失活 API，并及时处置，防止攻击者利用失活接口发起攻击，降低业务损失。

    1. 进入策略配置＞生命周期管理页签。

    2. 设置失活 API 判断标准，完成后单击 确定 生效。

      模式

      说明

      内置模型

      使用系统内置判断标准，即近 8 天无访问量或访问量大幅下跌的 API 接口判定为失活 API。

      自定义

      设置日访问量与持续时间（最大 31 天）。若某 API 在自定义持续时间内，日访问量小于设置的次数，则判定为失活 API。

    重要

    若资产的最近活跃时间超过 30 天，系统将自动删除该资产及其关联的风险数据与安全事件记录。

    九、日志订阅配置

    WAF 支持将 Agentic API 安全的资产信息、风险信息及攻击事件信息投递至日志服务（SLS）指定的 LogStore，便于基于 SLS 进行日志统一管理与分析。

    说明

    • 地域限制：中国内地的 WAF 实例仅支持投递至中国内地的日志服务 LogStore；非中国内地的 WAF 实例仅支持投递至非中国内地的 LogStore，不支持跨地域投递。

    • Project 与 LogStore 限制：不支持选择 WAF 日志服务自动创建的 LogStore，以及自定义命名为 waf-logstore、wafng-logstore、wafnew-logstore 的 LogStore 作为日志订阅目标。

    操作步骤

    1. 登录 日志服务控制台，创建用于接收 Agentic API 安全日志的 Project 和 LogStore；若已创建，可跳过此步骤。具体创建方法参见管理Project。

    2. 返回 WAF 控制台，进入 策略配置＞日志订阅配置 页签。

    3. 选择需要订阅的日志类型，单击配置。

    4. 选择目标 Project 所在地域、Project 名称和 LogStore 名称，单击 确定 保存配置。

    说明

    在日志服务控制台中创建 Project、LogStore 以及开通索引等操作会产生额外费用，由日志服务产品计费。具体计费项及价格请参见日志服务计费概述。

    日志订阅任务触发条件

    日志类型

    触发条件

    资产信息日志

    新增 API 资产时立即投递；若无新增资产，默认每 1 小时定时投递一次。

    风险信息日志

    检测到新增风险信息时，实时投递至指定 LogStore。

    攻击事件信息日志

    检测到新增攻击事件时实时投递；若攻击持续进行，则每 10 分钟持续投递一次。

    日志字段：具体投递的日志字段，请参见日志订阅投递字段说明。

    十、生效对象配置

    包年包月版WAF

    Agentic API安全提供三个防护对象或防护对象组级别的生效开关：

    • 基础检测开关：默认开启，控制所有内置检测机制和自定义检测策略是否生效。

    • 合规审查开关：默认关闭，仅在基础检测开启后才能开启，控制合规审查功能是否生效。

    • 溯源审计开关：默认关闭，仅在基础检测开启后才能开启，控制溯源审计功能是否生效。

    按量付费版WAF

    Agentic API安全提供一个防护对象或防护对象组级别的生效开关：

    • 基础检测开关：控制所有内置检测机制和自定义检测策略是否生效。如需关闭API安全功能，请关闭所有防护对象与防护对象组的基础检测开关。

    附录

    匹配条件说明（风险检测与安全事件）

    匹配字段

    子条件

    逻辑符

    匹配内容说明

    域名

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    API

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    请求方法

    不支持

    等于多值之一、不等于任一值

    多选，可选GET、POST、DELETE、PUT等请求方法。

    User-Agent

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    Referer

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    通信协议

    不支持

    等于

    可选HTTP/HTTPS

    请求Content-Type

    不支持

    包含多值之一、不包含任一值

    可输入最多50个，按回车键确认。

    请求长度

    不支持

    等于、值小于、值大于

    输入0-8192的整数

    响应Content-Type

    不支持

    包含多值之一、不包含任一值

    可输入最多50个，按回车键确认。

    响应长度

    不支持

    等于、值小于、值大于

    输入0-8192的整数

    响应状态码

    不支持

    等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    请求Header

    自定义Header

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    Cookie参数

    自定义Cookie-Exact

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    GET参数

    自定义Parameter

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    POST参数

    自定义Post-Arg

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    响应Header

    响应Header

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    响应参数

    响应参数

    存在、不存在、长度等于、长度小于、长度大于、包含多值之一、不包含任一值

    -

    业务用途

    不支持

    等于多值之一、不等于任一值

    业务用途列表，支持多选。更多信息请参见Agentic API安全如何划分API业务用途？

    服务对象

    不支持

    等于多值之一、不等于任一值

    服务对象列表，支持多选。更多信息请参见Agentic API安全如何区分接口的服务对象？

    鉴权

    不支持

    等于

    是/否

    请求敏感数据类型

    不支持

    等于多值之一、不等于任一值、种类数大于

    勾选敏感数据类型列表，支持多选；种类数大于条件下为0-8192的整数。

    请求敏感数据等级

    不支持

    等于多值之一、不等于任一值

    S1-S4，支持多选。

    响应敏感数据类型

    不支持

    等于多值之一、不等于任一值、种类数大于

    勾选敏感数据类型列表，支持多选；种类数大于条件下为0-8192的整数。

    响应敏感数据等级

    不支持

    等于多值之一、不等于任一值

    S1-S4，支持多选。

    访问源地理位置

    不支持

    等于

    中国内地/非中国内地

    IP

    不支持

    属于、不属于

    请填入IP或IP/掩码（例如：1.1.X.X/24）。暂不支持正则，最多填写50个，以英文逗号分隔，或按回车键确认。

    账号（仅限安全事件）

    不支持

    等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    数据统计说明（安全事件）

    匹配字段

    子条件（需要输入/选择）

    逻辑符

    匹配内容说明

    状态码统计

    状态码（100-600的整数）

    值大于

    限制为0-8192的整数。

    请求Header

    自定义Header

    去重小于、去重等于、去重大于

    限制为0-8192的整数。

    Cookie参数

    自定义Cookie-Exact

    去重小于、去重等于、去重大于

    限制为0-8192的整数。

    GET参数

    自定义Parameter

    去重小于、去重等于、去重大于

    限制为0-8192的整数。

    POST参数

    自定义Post-Arg

    去重小于、去重等于、去重大于

    限制为0-8192的整数。

    响应敏感数据类型

    勾选响应敏感数据类型，支持多选

    去重大于

    限制为0-8192的整数。

    响应敏感数据等级

    勾选响应敏感数据等级，支持多选

    去重大于

    限制为0-8192的整数。

    来源IP数量统计

    设置来源IP数量统计值

    值大于

    限制为0-8192的整数。

    说明

    Agentic API安全的响应敏感数据信息默认采用采样分析，如需在安全事件配置的自定义策略中配置响应敏感数据类型以及响应敏感数据等级的数据统计检测，为了保证防护对象下的响应敏感数据信息被全部记录分析，需要在策略配置 > 生效对象配置中开启对应的防护对象的溯源审计开关。

    匹配条件说明（鉴权凭据配置）

    匹配字段

    子条件（需要输入/选择）

    逻辑符

    匹配内容说明

    域名

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    API

    不支持

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    请求Header

    自定义Header

    存在、长度等于、长度小于、长度大于

    请求Cookie

    自定义Cookie-Exact

    存在、长度等于、长度小于、长度大于

    请求Query

    自定义Parameter

    存在、长度等于、长度小于、长度大于

    请求Body

    自定义Post-Arg

    存在、长度等于、长度小于、长度大于

    匹配条件说明（业务用途配置）

    匹配字段

    逻辑符

    匹配内容

    域名

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    API

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    请求Header参数名

    包含多值之一、等于多值之一

    可输入最多50个，按回车键确认。

    请求Cookie参数名

    包含多值之一、等于多值之一

    可输入最多50个，按回车键确认。

    请求Query参数名

    包含多值之一、等于多值之一

    可输入最多50个，按回车键确认。

    请求Body参数名

    包含多值之一、等于多值之一

    可输入最多50个，按回车键确认。

    请求敏感数据类型

    包含多值之一、等于多值之一

    勾选请求敏感数据类型列表，支持多选。

    响应敏感数据类型

    包含多值之一、等于多值之一

    勾选响应敏感数据类型列表，支持多选。

    响应参数名

    包含多值之一、等于多值之一

    可输入最多50个，按回车键确认。

    匹配条件说明（白名单配置）

    风险检测白名单策略匹配条件

    匹配字段

    逻辑符

    匹配内容

    域名

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    API

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    安全事件白名单策略匹配条件

    匹配字段

    逻辑符

    匹配内容

    域名

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    API

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    IP

    属于、不属于

    请填入IP或IP/掩码（例如：1.1.X.X/24）。暂不支持正则，最多填写50个，以英文逗号分隔，或者按回车键确认。

    账号

    包含多值之一、不包含任一值、等于多值之一、不等于任一值

    可输入最多50个，按回车键确认。

    日志订阅投递字段说明

    资产信息

    字段名称

    字段说明

    字段格式

    字段示例

    user_id

    客户UID

    string

    123456

    service_host

    域名

    string

    api.alibabacloud.com

    api_format

    API路径

    string

    /api/v1/getuserbyid/${param}

    request_method

    请求方法

    string

    GET

    api_tag

    业务用途

    object []

    ['QueryInfo']

    api_type

    服务对象

    object []

    ['PublicAPI']

    auth_key

    鉴权字段

    object []

    ['id_token', 'access_token']

    api_status

    生命周期

    string

    NewbornInterface

    api_sensitive_level

    接口敏感等级

    string

    L1

    api_sensitive_req

    请求敏感数据类型

    object []

    ['1014', '1017', '1002']

    api_sensitive_res

    响应敏感数据类型

    object []

    ['1009', '1013', '1003', '1014', '1002']

    farthest_ts

    首次发现时间

    long

    1713237135

    lastest_ts

    最近活跃时间

    long

    1716452318

    abnormal_num

    风险数

    integer

    1

    event_num

    事件数

    integer

    2

    struct_baseline

    参数结构

    object

    ['{"key":"Trace-Id","location":"request_header","format":"string","required":"true"}',

    '{"key":"pageNum","location":"request_query","format":"integer","required":"true"}',

    '{"key":"tlogTraceId","location":"response_header","format":"integer","required":"true"}',

    '{"key":"Strict-Transport-Security","location":"request_header","format":"string","required":"true"}',

    '{"key":"X-Forwarded-ClientSrcPort","location":"request_header","format":"integer","required":"true"}',

    '{"key":"Trace-State","location":"request_header","format":"string","required":"true"}',

    '{"key":"auth","location":"request_header","format":"string","required":"true"}',

    '{"key":"Access-Control-Max-Age","location":"response_header","format":"integer","required":"true"}',

    '{"key":"Enterprise-Hash","location":"request_header","format":"string","required":"true"}',

    '{"key":"X-Request-ID","location":"request_header","format":"string","required":"true"}',

    '{"key":"postName","location":"request_query","format":"string","required":"true"}', '{"key":"pageSize","location":"request_query","format":"integer","required":"true"}']

    matched_hosts

    防护对象

    object []

    ['*.aliyun.com-waf']

    hosts

    域名

    object []

    ['api.alibabacloud.com']

    server_port

    端口

    object []

    ['443']

    server_location

    源站所处国家

    object []

    ['CN']

    api_id

    API唯一ID

    string

    af418cb31036015fddea71b48d06aa4b

    log_type

    日志类型

    string

    asset

    request_header

    请求Header

    JSON

    {"Connection":"Keep-Alive","Host":"api.alibabacloud.com","eagleeye-rpcid":"0.1"}

    querystring

    请求URL参数

    string

    ?token=7464f593205896e23b1286ba7532dcff

    request_body

    请求Body

    string

    xxx=1

    response_header

    响应Header

    JSON

    {"Accept-Ranges":["bytes","bytes"],"Cache-Control":"private, max-age=21600, no-transform"}

    response_body

    响应Body

    string

    xxxx

    example_timestamp

    样例时间戳

    long

    1718546694

    example_traceid

    样例traceid

    string

    784e2ca717213678365778292e58de

    风险信息

    字段名称

    字段说明

    字段格式

    字段示例

    user_id

    客户UID

    string

    123456

    service_host

    域名

    string

    api.alibabacloud.com

    api_format

    API路径

    string

    /api/v1/login

    request_method

    请求方法

    string

    POST

    api_tag

    业务用途

    object []

    ['LoginAPI']

    abnormal_tag

    风险名称

    string

    Risk_DefaultPasswd

    abnormal_type

    风险类型（自定义/内置）

    string

    default

    abnormal_level

    风险等级

    string

    medium

    abnormal_discover_ts

    风险发现时间

    long

    1716343432

    abnormal_info

    风险信息

    object

    {'default_passwd':'aliyun123'}

    api_id

    API唯一ID

    string

    2c0f97e10b586208039e60671150bd9b

    abnormal_id

    风险唯一ID

    string

    8cfccc0e8c3d41aa1221e94a2fdeffe3

    log_type

    日志类型

    string

    risk

    matched_hosts

    防护对象

    object []

    ['*.aliyun.com-waf']

    request_header

    请求Header

    JSON

    {"Connection":"Keep-Alive","Host":"api.alibabacloud.com","eagleeye-rpcid":"0.1"}

    querystring

    请求URL参数

    string

    ?token=7464f593205896e23b1286ba7532dcff

    request_body

    请求Body

    string

    xxx=1

    response_header

    响应Header

    JSON

    {"Accept-Ranges":["bytes","bytes"],"Cache-Control":"private, max-age=21600, no-transform"}

    response_body

    响应Body

    string

    xxxx

    example_timestamp

    样例时间戳

    long

    1718546694

    example_traceid

    样例traceid

    string

    784e2ca717213678365778****58de

    攻击事件信息

    字段名称

    字段说明

    字段格式

    字段示例

    user_id

    客户UID

    string

    123456

    service_host

    域名

    string

    api.alibabacloud.com

    matched_host

    防护对象

    string

    api.alibabacloud.com-waf

    host

    域名

    string

    api.alibabacloud.com

    api_format

    API路径

    string

    /api/admin/login

    request_method

    请求方法

    string

    POST

    api_tag

    业务用途

    object []

    ['AdminService', 'LoginService']

    event_tag

    事件名称

    string

    Event_LoginCollision

    event_origin

    事件类型（自定义/内置）

    string

    default

    event_level

    事件等级

    string

    high

    start_ts

    攻击开始时间

    long

    1713886210

    end_ts

    攻击结束时间

    long

    1713887817

    attack_cnt

    攻击总量

    integer

    147

    attack_ip_info

    攻击IP信息

    object []

    ['{'ip':'103.44.XX.XXX'', 'country_id':'HK', 'region_id':'-', 'cnt':'147'']

    api_id

    API唯一ID

    string

    4dfc73b37d2d645fe2ca7f45c08f7398

    event_id

    事件ID

    string

    f09f6802e9b57a58ebb9f1bea212027e

    log_type

    日志类型

    string

    event

    request_data

    请求数据样例

    JSON

    {'1002':['张三','李四','陈六'],'1004':['13200000001','15200000002']}

    response_data

    响应数据样例

    JSON

    {'postarg.userId':['lisi111','zhangsan123'],'postarg.corpId':['wx1111111'],'postarg.externalUserid':['wm7_KpDgOm6Bm-BGA']}

    日志订阅投递字段值说明

    生命周期

    生命周期（api_status）

    字段值

    说明

    NewbornInterface

    新增

    OfflineInterface

    失活

    normal

    正常

    服务对象

    服务对象（api_type）

    字段值

    说明

    PublicAPI

    公共服务

    ThirdpartAPI

    三方合作

    InternalAPI

    内部办公

    业务用途

    业务用途（api_tag）

    字段值

    说明

    LoginByUserPasswd

    账号密码登录

    LoginByPhoneCode

    手机验证码登录

    LoginByMailCode

    邮箱验证码登录

    WeChatLogin

    微信登录

    AliPayLogin

    支付宝登录

    OAuthLogin

    OAuth认证

    OIDCLogin

    OIDC认证

    SAMLLogin

    SAML认证

    SSOLogin

    SSO认证

    LoginAPI

    登录服务

    LogoutAPI

    注销登录

    RegisterByUserPasswd

    账号密码注册

    RegisterByPhoneCode

    手机验证码注册

    RegisterByMailCode

    邮箱验证码注册

    WeChatRegister

    微信注册

    AliPayRegister

    支付宝注册

    RegisterAPI

    注册服务

    SendSMS

    短信发送

    SendMail

    邮件发送

    ResetPasswd

    重置密码

    CheckVerifyCode

    验证码校验

    CheckStatus

    状态检查

    QueryOrder

    订单查询

    ExportOrder

    订单导出

    UpdateOrder

    订单更新

    PayOrder

    订单支付

    QueryLog

    日志查询

    UploadLog

    日志上报

    DownloadLog

    日志导出

    LogService

    日志服务

    GraphQL

    GraphQL

    SqlService

    SQL服务

    FileUpload

    文件上传

    FileDownload

    文件下载

    FileService

    文件服务

    AdminService

    后台管理

    DashBoard

    数据看板

    MonitorService

    监控服务

    SendInfo

    信息发送

    CheckInfo

    数据检查

    QueryInfo

    数据查询

    UploadInfo

    数据上传

    DownloadInfo

    数据下载

    AddInfo

    添加数据

    EditInfo

    编辑数据

    UpdateInfo

    数据更新

    ShareInfo

    数据分享

    DeleteInfo

    数据删除

    SyncInfo

    数据同步

    SubmitInfo

    数据提交

    CopyInfo

    数据拷贝

    AuditInfo

    数据审计

    SaveInfo

    数据保存

    CancelOp

    取消

    StartOp

    启动

    BatchOp

    批处理

    PauseOp

    暂停

    BindOp

    绑定

    DebugOp

    调试

    SetOp

    设置

    ShutDown

    关闭

    敏感数据类型

    包含请求敏感数量类型（api_sensitive_req）与响应敏感数据类型（api_sensitive_res）

    字段值

    说明

    1000

    身份证（中国内地）

    1001

    储蓄银行卡

    1002

    姓名（简体中文）

    1003

    地址（中国内地）

    1004

    手机号（中国内地）

    1005

    邮箱

    1006

    护照号（中国内地）

    1007

    港澳通行证

    1008

    车牌号（中国内地）

    1009

    电话号码（中国内地）

    1010

    军官证

    1011

    性别

    1012

    民族

    1013

    省份（中国内地）

    1014

    城市（中国内地）

    1015

    身份证（中国香港）

    1016

    姓名（繁体中文）

    1017

    姓名（英文）

    1018

    身份证（马来西亚）

    1019

    身份证（新加坡）

    1020

    借贷银行卡

    1022

    SWIFT Code

    1023

    SSN

    1024

    电话号码 （美国）

    1025

    宗教信仰

    2000

    IP地址

    2001

    MAC地址

    2002

    JDBC连接串

    2003

    PEM证书

    2004

    KEY私钥

    2005

    AccessKeyId

    2006

    AccessKeySecret

    2007

    IPv6地址

    2009

    日期

    2010

    IMEI

    2011

    MEID

    2013

    Linux-Passwd文件

    2014

    Linux-Shadow文件

    2015

    URL链接

    4000

    营业执照号码

    4001

    税务登记证号码

    4002

    组织机构代码

    4003

    统一社会信用代码

    4004

    车辆识别码

    风险类型

    风险类型（risk）

    字段值

    说明

    RiskType_Specification

    安全规范

    Risk_UnsafeHttpMethod

    不安全的HTTP方法

    Risk_WeakSignAlgorithm

    JWT弱签名算法

    Risk_UrlParam

    参数为URL

    RiskType_Account

    账号安全

    Risk_PasswdUnencrypt

    密码明文传输

    Risk_WeakPasswd

    允许弱密码

    Risk_InternalWeakPasswd

    内部应用存在弱口令

    Risk_DefaultPasswd

    存在默认密码

    Risk_PasswdResponse

    返回明文密码

    Risk_PasswdCookie

    Cookie中存储密码

    Risk_LoginRestrict

    登录接口缺乏限制

    Risk_LoginPrompt

    登录失败提示不合理

    Risk_PasswdUrl

    URL传输账号密码

    RiskType_Control

    访问控制

    Risk_InternalAPI

    内部应用公网可访问

    Risk_SourceRestrict

    接口未限制访问来源

    Risk_ClientRestrict

    接口未限制访问工具

    Risk_SpeedRestrict

    接口未限制访问速率

    RiskType_Permission

    权限管理

    Risk_WeakToken

    鉴权凭据强度较弱

    Risk_UnauthSensitive

    敏感接口未鉴权

    Risk_UnauthInternalAPI

    内部接口可未授权访问

    Risk_TokenUrl

    URL传输凭据信息

    Risk_AkLeak

    AK信息泄漏

    RiskType_Sensitive

    数据保护

    Risk_SensitiveTypeExcessive

    返回敏感数据类型过多

    Risk_SensitiveNumExcessive

    返回敏感数据数量过多

    Risk_InvalidDesensitize

    敏感数据未有效脱敏

    Risk_ServerInfoLeak

    服务器敏感信息泄漏

    Risk_InternalIPLeak

    泄漏内网IP地址

    Risk_SensitiveURL

    URL传输敏感数据

    RiskType_Design

    接口设计

    Risk_ParamTraverse

    请求参数可遍历

    Risk_PageSize

    返回数据量可修改

    Risk_SqlAPI

    数据库查询

    Risk_RceAPI

    命令执行接口

    Risk_SmsContent

    任意短信内容发送

    Risk_MailContent

    任意邮件内容发送

    Risk_SmsVerifyCodeLeak

    短信验证码泄漏

    Risk_MailVerifyCodeLeak

    邮件验证码泄漏

    Risk_FileDownload

    指定文件下载

    Risk_ExceptionLeak

    应用异常信息泄漏

    Risk_ExceptionSql

    数据库异常信息泄漏

    事件类型

    事件类型（event）

    字段值

    说明

    Event_AbnormalFrequency

    异常高频访问

    Event_ExceptionIPInvoke

    异常IP访问内部接口

    Event_ExceptionRegionInvoke

    异常地区访问内部接口

    Event_ExceptionClientInvoke

    使用异常工具访问

    Event_ExceptionTimeInvoke

    异常时间段访问

    Event_AbnormalParamValue

    参数值异常的访问

    Event_InternalLoginWeakPasswd

    内部应用弱口令登录

    Event_LoginAccountBruteForce

    爆破用户名

    Event_LoginPasswdBruteForce

    爆破登录密码

    Event_LoginCollision

    撞库攻击

    Event_MobileVerifyBruteForce

    短信验证码爆破

    Event_MailVerifyBruteForce

    邮件验证码爆破

    Event_AbnormalRegister

    批量注册

    Event_SMSInterfaceAbuse

    恶意消耗短信资源

    Event_EmailInterfaceAbuse

    恶意消耗邮件资源

    Event_AbnormalExport

    批量下载

    Event_DataTraverse

    遍历爬取接口数据

    Event_WebAttackAPI

    恶意攻击API接口

    Event_ObtainSensitiveUnauthorized

    未授权访问获取敏感数据

    Event_ObtainSensitiveExcessive

    获取大量敏感数据

    Event_CrossborderIPSensitiveExcessive

    境外IP获取大量敏感数据

    Event_ExceptionResponse

    接口返回异常报错信息

    Event_ExceptionSql

    接口返回数据库报错信息

    Event_SystemInfoResponse

    接口返回系统敏感信息

    Event_AbnormalStatus

    接口响应状态异常