关于AWS Bot Control的user_triggered与developer_platform标签的技术问询

涉及标签 #

• awswaf:managed:aws:bot-control:bot:user_triggered:verified
• awswaf:managed:aws:bot-control:bot:developer_platform:verified

具体疑问与解答 #

1. 对user_triggered标签的场景理解是否正确？ #

你的理解方向是对的，但覆盖范围更广：这类流量是外观匹配已验证机器人特征，但由真实用户手动触发的请求——比如开发者用浏览器模拟机器人请求、用户通过自带爬虫工具发起的类机器人请求，或是企业内用户操作的设备恰好匹配了已验证机器人的IP/UA特征，核心是「触发主体是真人，而非自动化程序」。

2. 为何名称带verified却被当作未验证机器人处理？ #

标签里的verified指的是流量特征和已验证机器人高度吻合，但AWS无法确认请求是由「经过官方验证的合法自动化程序」发起的——因为它是真人触发的，没有通过AWS Bot Control的官方验证流程（比如令牌验证、身份注册），本质不属于可信的已验证机器人，因此按未验证机器人规则处理。标签命名是描述特征匹配，而非身份验证状态。

3. developer_platform:verified与已验证机器人的差异是什么？ #

核心差异在身份可信度和控制主体：

• 已验证机器人：是经AWS官方注册/验证、由特定组织控制的合法自动化程序（比如搜索引擎爬虫、官方API机器人），身份明确且可信。
• developer_platform:verified：流量来自Google Apps Script这类托管开发平台，IP/UA等特征和已验证机器人类似，但这类程序由普通开发者编写、在第三方平台运行，AWS无法验证开发者身份或程序合法性，无法确定是合规爬虫还是恶意脚本，因此归类为类似已验证机器人，但按未验证规则处理。

4. 定义中的「开发平台」具体指什么？ #

就是像Google Apps Script这类允许用户在平台托管的基础设施上编写并运行自动化脚本的服务：

• 典型场景：比如用户在Google Sheets里编写的脚本，直接在谷歌服务器上运行发起请求，这类请求的IP属于谷歌，UA也可能和谷歌官方机器人类似，外观像已验证机器人，但发起者是任意普通用户，而非谷歌官方的合法爬虫。
• 范围不止谷歌：其他类似平台比如Microsoft Power Automate、Zapier的自动化任务、AWS Lambda里用户编写的爬虫脚本（若流量特征匹配），只要是用户在第三方托管平台上运行的自动化程序，都可能被归到这个标签下。

附录：AWS官方定义 #

awswaf:managed:aws:bot-control:bot:user_triggered:verified – 用于标识类似已验证机器人，但可能由终端用户直接调用的机器人。Bot Control规则将此类机器人视为未验证机器人处理。

awswaf:managed:aws:bot-control:bot:developer_platform:verified – 用于标识类似已验证机器人，但被开发平台用于脚本编写的机器人，例如Google Apps Script。Bot Control规则将此类机器人视为未验证机器人处理。

内容的提问来源于stack exchange，提问作者Jan Spörer