WAF 全局设置
[版本与权限]
全局设置中的基础防护支持社区版、专业版和企业版。URL 频率限制、漏洞防御、应用规则、自定义规则、地区访问限制、自定义拦截页面和日志配置仅在专业版和企业版中可用，需要有效许可证。
企业版普通用户需要 WAF 查看权限；修改开关、参数和规则需要 WAF 管理权限。
生效范围
WAF 总开关 控制所有网站的 WAF 防护。带有 网站 标识的全局设置是新建网站的默认值，已有网站需要在 网站设置 中单独配置；对应规则生效时，WAF 总开关和网站 WAF 开关必须同时开启。
1 频率限制
表 1 频率限制功能说明
访问频率限制中的 全局模式 统计单位时间内对任意 URL 的请求总数，URL 模式 分别统计单个 URL 的请求数。封锁时间到期后会自动解除；重启 OpenResty 也会清除临时封锁。
2 默认规则
表 2 默认防护规则说明
HTTP 规则采用允许列表逻辑。例如仅允许 GET 请求时，应关闭其他不需要的 HTTP 方法。收紧方法或启用严格模式前，应确认业务是否使用 POST、PUT、DELETE、OPTIONS 等请求。
3 自定义规则
表 3 自定义规则功能说明
[真实 IP]
只有在请求确实经过可信 CDN 或反向代理时才启用 CDN 配置，并确认代理会覆盖客户端传入的同名请求头。错误信任来源 IP 请求头可能导致黑白名单和频率限制被绕过。
4 配置
表 4 全局配置项说明
[应用规则]
修改全局默认值不会自动覆盖所有已有网站。需要立即应用到现有网站时，应使用页面提供的应用操作或进入 网站设置 逐个确认，并在生产环境变更前保留 OpenResty 配置备份。