Cloudflare WAF 推出完整事务检测
内容提要
Cloudflare WAF 新增“完整事务检测”与“响应规则”，将 HTTP 请求与其响应关联分析，判断攻击是否真正得逞，并可在响应到达请求方前拦截，弥补仅检查请求易误报或漏报的不足。该能力首用于 php2shell 漏洞防护，向所有客户（含免费版）开放；检测结果可在安全分析中查看，付费客户可用响应字段自定义规则。
延伸解读
从“看请求”到“看结果”：检测逻辑的转变
传统 WAF 主要检查请求本身，容易在宽泛签名下产生误报，或为规避误报而放行可疑流量。Cloudflare 此次将请求与其响应关联分析，用响应内容作为补充证据。例如路径遍历请求若返回配置文件内容，则比单独请求更确凿。这种思路把“是否恶意”的判断延伸到“是否得逞”，有助于减少误报和漏报。
响应规则：拦截在响应到达之前
检测到攻击证据后，响应规则可在源站响应到达请求方之前将其替换为 WAF 阻止页面或自定义响应。文章明确指出，这不能撤销源站已执行的操作，但能防止敏感信息泄露给攻击者。所有客户（含免费版）均可创建最多三条支持日志和阻止操作的自定义响应规则，付费客户还可使用检测字段进行更精细的策略定制。
免费版与付费版的差异及使用建议
托管响应防火墙默认规则集向所有客户开放，免费版侧重高知名度漏洞（如 php2shell），付费版可获得更丰富的检测目录和 cf.waf.signature.response.* 字段。由于默认规则在每个请求上运行，文章建议客户可通过限定路径等方式缩小作用范围以降低误报风险。检测结果可在安全分析中查看，便于先观察再制定策略。
当前限制与后续方向
目前响应规则尚不支持基于响应体创建规则，且请求规则与完整事务规则在分析页面中混合展示，需按规则 ID 筛选。文章提到未来将扩展至数据暴露和外泄信号等用例。读者应注意，该能力依赖源站返回的响应特征，若应用本身不返回可识别信号，检测效果可能受限。
Q&A
Cloudflare WAF 新推出的完整事务检测是什么？
完整事务检测是 Cloudflare WAF 新增的能力，它将每个 HTTP 请求与其响应关联分析，以判断攻击是否真正得逞。它同时回答“请求是否恶意”和“应用处理时发生了什么”，并可通过响应规则在响应到达请求方前进行拦截。
为什么仅检查请求不足以防御某些攻击？
仅检查请求容易产生误报或漏报：宽泛的请求签名可能拦截合法流量，而严格规则又可能放过模糊攻击。响应能提供缺失的证据，例如路径遍历请求后若返回敏感配置文件内容，结合请求与响应才能更准确地确认攻击成功。
响应规则如何实现拦截？
响应规则在响应阶段生效，当匹配到规则时，Cloudflare 会在源站响应到达请求方之前将其替换为 WAF 阻止页面或自定义响应，从而阻止敏感信息泄露。但需注意，它无法撤销源站已执行的操作。
完整事务检测对免费版用户开放吗？
是的，完整事务检测和响应规则已向所有 Cloudflare 客户开放，包括免费版计划。免费版用户可通过托管响应防火墙默认规则集获得针对高知名度漏洞的保护，付费客户还可使用检测字段自定义响应规则。
如何自定义响应规则？能举个例子吗？
所有客户均可创建最多三条自定义响应规则，支持日志和阻止动作。例如，可创建规则阻止未认证用户访问管理界面：当请求路径以 /admin 开头、缺少内部用户标头且源站返回 200 状态码的 HTML 页面时进行拦截。
在哪里查看完整事务检测的匹配事件？
匹配事件可在安全事件（Security Events）中查看，响应规则产生的事件归属于托管规则或自定义规则服务。用户可通过规则 ID 筛选特定事件，并追溯请求的完整上下文和触发的规则。
