WAF

一句话判断

已知漏洞和常见攻击优先用托管规则。后台、上传、写接口这种明确路径用自定义规则。登录、评论、搜索、上传被刷时用限流。表单和评论需要人机判断时用 Turnstile。源站 IP 可能被绕过时，先看 Fundamentals 和 DDoS Protection。

规则数量和计划限制看 免费额度大全；WAF 跟域名计划走，不跟 Workers Paid 走。

推荐顺序

1. 确认网站记录开启代理，源站不能被直连。
2. 打开基础托管规则，用安全事件观察触发情况。
3. 给后台、登录、写接口、上传加少量自定义规则。
4. 给登录、评论、搜索、上传或写接口加限流。
5. 对误伤做具体例外，保留规则主干。

Custom Rules

后台入口通常限制可信来源或放到 Access 后面。写接口可以做挑战、方法限制或速率限制。上传路径要限制文件大小、方法和来源。临时攻击路径可以按路径拦截或挑战。