为合作方配置例外放行避免误杀的核心是建立基于IP、UA、请求路径的多维白名单，并搭配优先级规则与动态验证机制，确保放行粒度最小化。
合作方IP白名单怎么设置？先诊断误杀原因
合作方流量被误杀，通常不是因为规则本身有问题，而是配置时忽略了合作方的真实请求特征，业内专家指出，超过七成误杀案例源于IP变动未同步、请求头特征与攻击规则重合、或放行规则优先级过低，诊断时，先查看WAF拦截日志，对比合作方源IP、请求路径和User-Agent。
- 若IP为动态，放行IP段但不放大范围，建议结合IP段+UA绑定。
- 若请求路径与攻击特征相似（如API接口含敏感参数）,需区分正常参数范围。
- 若多条规则冲突，检查规则顺序,确保放行规则在拦截规则之前。
常见误杀类型：合作方回源IP变更后未更新、请求Body包含特殊字符被误判为SQL注入、或HTTPS证书未放行导致SSL握手失败，诊断后,才能精准配置例外。
例外放行规则配置教程：核心原则与实操步骤
最小权限放行
只放行必要字段，不放行整个IP段或全部请求，例如合作方仅需调用/api/order，则白名单限定路径为/api/order，并绑定固定IP段，不要直接放行所有路径,否则攻击者可能借道进入。
规则优先级高于一切
放行规则必须放在拦截规则之前，且优先级数值最高（如数字越小优先级越高），多数WAF控制台允许拖动规则排序，务必确认放行规则位于列表顶部，行业共识认为,规则顺序错误是导致误杀的第二大原因。
实操步骤：以某云WAF控制台为例
- 登录WAF管理后台，进入“自定义规则”或“白名单管理”模块。
- 点击“新建规则”，选择“放行”或“白名单”动作。
- 填写匹配条件：
- 来源IP：输入合作方提供的固定IP或CIDR段（如
0.113.0/24）。 - 请求路径：使用前缀匹配，精确到具体接口（如
/api/partner）。 - User-Agent：若合作方客户端固定,可添加UA字段。
- 来源IP：输入合作方提供的固定IP或CIDR段（如
- 设置规则优先级为“最高”（或数值1）。
- 保存并启用，等待1-2分钟生效。
- 验证：使用合作方测试环境发起请求，查看WAF日志是否标记为“放行”。
注意：如果合作方使用动态IP，建议启用“IP段+UA”双重验证，并设置每日自动同步IP列表（通过API或定期更新）。
避免误杀合作方流量：多场景配置方案
固定IP合作方
直接配置IP白名单,但需限定路径。
- 放行
0.113.0/24访问/api/partner/。 - 注意：若合作方有多个IP段，逐一添加，避免使用
0.0.0/0。
动态IP合作方
使用IP段+UA+请求频率特征组合。
- 放行IP段
51.100.0/22，且User-Agent包含
PartnerApp/1.0
- 这类规则需先测试是否误拦截正常请求,设置较低频率阈值。
API接口合作方
专门为合作方创建独立API域名，并在该域名下仅配置放行规则，不启用常规攻击检测，或者使用API密钥认证，WAF只验证密钥有效性，不检测请求内容，这样能彻底避免误杀,但需合作方配合改造。
配置中的常见陷阱与优化
陷阱1：规则冲突：放行规则与CC防护规则冲突，例如放行了IP但CC防护仍限速，解决办法：在CC防护规则中添加例外,或直接对合作方IP段关闭CC防护。
陷阱2：日志不展示放行记录：部分WAF默认不记录放行日志，导致故障排查困难，建议开启“白名单日志”功能,记录所有放行请求。
陷阱3：合作方IP变更未通知：建立定期确认机制，例如每月双方核对IP列表，若IP变更频繁，可改为使用API密钥认证,降低对IP的依赖。
优化技巧：使用“放行并记录”规则，既能放行又能输出日志，方便事后审计，建议为每个合作方创建独立规则组,便于整体管理。
维护与监控：确保规则持续有效
配置完成后，不是一劳永逸，需要定期（如每周）检查WAF日志，确认合作方请求是否被正常放行，有无异常拦截，监控合作方流量是否突增，若放行规则被滥用（如爬虫伪装成合作方UA）,需要立即收紧条件。
关键指标：放行规则的命中次数、误拦截率、合作方响应超时率，若发现命中次数异常下降,可能规则被绕过或IP已变更。
自动化脚本：可以编写脚本每日从合作方获取IP列表，自动更新到WAF规则中，例如通过API调用云WAF的批量更新接口,减少人工操作失误。
例外放行不是简单加白名单，而是需要结合IP、路径、UA、频率等多维条件，并配合优先级与动态更新机制,才能在保护安全的同时不误伤合作方。
合作方例外放行常见问题解答
合作方IP变了，现有白名单失效怎么办？
建立IP变更通知机制，强制合作方提前24小时通知，在规则中同时绑定UA或请求路径，即使IP变化，只要UA和路径匹配仍可放行，争取缓冲时间，若变更频繁，建议改用API密钥认证,彻底摆脱IP依赖。
例外放行规则会不会降低网站安全性？
会，但可通过最小权限和动态验证降低风险，只放行必要接口，不放行全部路径；对放行规则进行频率限制，发现异常立即告警，定期审计规则，移除不再合作方的条目，安全性不会显著下降,反而因减少误杀提升了业务稳定性。
如何测试规则是否生效且不误杀？
使用curl命令模拟合作方请求，指定IP、UA和路径，观察WAF日志中的动作字段为“放行”，从非合作方IP发起相同请求，确认被正常拦截，若存在暂存环境,建议在灰度区域先验证再全量上线。