用命中规则、业务边界、回归样本和到期复查管理 WAF 例外，避免一次误报变成长期整站放行。
业务提交失败时直接关闭整套 WAF，虽然可能立刻消除报错，却无法解释哪条规则出了问题。更可维护的做法是把一次误拦转化成有边界、能验证、可到期回收的例外。
先确定是哪个环节拒绝了请求
收集发生时间、域名、路径、请求方法、响应状态和请求标识，再关联边缘事件与应用日志。请求正文只保留脱敏测试样本。应用返回的 403、身份过期和上游超时，都不应直接归因于 WAF。
Cloudflare 的托管规则文档区分跳过特定规则、规则集及剩余规则等范围，并说明账号级与站点级规则的执行关系。实际产品界面各不相同，但排查时都要明确“跳过了什么”和“仍由谁检查”。
一张例外单应写清哪些内容
- 触发的规则编号和误报证据。
- 必须放行的业务路径、方法及适用条件，避免只用宽泛的字符串包含匹配。
- 仍然保留的鉴权、速率限制和其他防护。
- 业务责任人、上线时间、复查日期及删除条件。
例如文件提交接口被某条内容规则误拦，首先确认是否能只调整该规则在该接口上的行为。不要顺手把整个上传目录、所有 POST 请求和登录页一起排除。
正向与负向样本都要过
使用不含真实隐私的合法提交确认业务恢复，再检查相邻路径、其他方法、未登录请求和平台提供的安全测试样本仍遵循原策略。记录变更前后错误率与命中趋势，警惕例外范围意外扩大。
应用修复或规则更新后，应主动尝试移除例外并复测。例外是一项持续管理的配置债务，不应只在创建当天有人负责。
参考：Cloudflare：Create WAF exceptions。核对日期：2026年10月4日。
