如何在 AWS WAF 中为固定 URI 请求设置例外？
内容提要
本文介绍了如何通过AWS WAF自定义规则处理固定URI请求例外，包括使用自定义规则和Scope-down Statement。通过这些方法，可以灵活处理例外，保持应用程序的安全性。
延伸解读
自定义规则与 Scope-down Statement 的关键区别
自定义规则放在托管规则组之前，匹配后直接放行请求，但会跳过所有后续安全检查，可能引入安全盲区。Scope-down Statement 则是在托管规则组内部缩小作用范围，仅对不匹配例外条件的请求执行检查，因此其他安全检查仍会生效。选择时需权衡便利性与安全性，避免因过度放行而削弱防护。
仅计数模式：安全调整的过渡策略
将托管规则组中的特定规则（如 CrossSiteScripting_BODY 或 SQLi_BODY）动作改为 Count，可以让 WAF 仅记录日志而不拦截请求。这适合在不确定规则是否误判时，先观察实际流量，再根据日志创建精准的自定义例外，避免直接放行导致安全风险。
配置例外后的验证方法
文章示例使用 curl 命令验证效果：向 /picture/ 发送包含 XSS 载荷的请求应被放行，而向 /picture1 发送相同请求应被拦截。这提醒我们，配置例外后必须进行测试，确保例外仅对目标 URI 生效，且其他路径仍受保护，防止配置错误导致意外放行。
Q&A
如何在 AWS WAF 中为特定 URI 添加请求例外？
可以通过创建自定义规则或使用 Scope-down Statement 来为特定 URI 添加请求例外。
AWS WAF 托管规则组的作用是什么？
AWS WAF 托管规则组保护应用程序免受常见安全威胁，如跨站脚本 (XSS) 和 SQL 注入 (SQLi)。
使用 Scope-down Statement 有什么优势？
使用 Scope-down Statement 可以更灵活地缩小托管规则组的作用范围，仅在请求不匹配特定条件时执行规则检查。
如何将某些规则设置为仅计数模式？
可以将托管规则组中的相关规则的动作改为 Count，这样 WAF 只会记录日志而不拦截请求。
在 AWS WAF 中，如何验证 URI 例外的效果？
可以通过发送请求到特定 URI 并观察 WAF 的响应来验证例外的效果。
自定义规则在 AWS WAF 中的作用是什么？
自定义规则允许特定 URI 请求通过，跳过所有其他安全检查。
