如何减少Cloud Armor WAF对用户提交文本的误报及相关技术疑问

用户提交表单文本时，偶尔会被Cloud Armor WAF误拦截，例如POST载荷中的合法内容：

Please supply the following data: foo, bar and baz.
被规则owasp-crs-v030301-id941170-xss（NoScript XSS InjectionChecker: Attribute Injection）识别为潜在威胁，触发原因是文本中的data: ,写法。

已尝试的方案 #

• 关闭该规则：不理想，会降低整体安全性
• 临时告知用户避免使用“data”后跟冒号的写法：仅临时 workaround，用户体验差
• URL编码：data:dfgdf,转为data%3A%20dfgdf%2C仍被拦截，无效
• 转写为data/:dfgds,：可通过WAF，但需在WAF前后做转换处理，增加开发成本
• 使用HTML实体data:dfgdf,：可通过WAF，但需要对用户输入做转义处理

核心疑问 #

1. 调整敏感度（偏执）级别是否是处理此类误报的首选方案，还是建议直接转义用户数据？
2. 请解释敏感度功能：范围为0-4，正则匹配是布尔值，若敏感度设为1且规则匹配，会出现什么情况？以及evaluatePreconfiguredExpr对应的敏感度级别是多少？

误报处理的首选方案 #

优先调整Cloud Armor的敏感度（偏执级别），而非直接转义用户数据，原因如下：

• 转义用户数据需要在前端/后端额外处理，不仅增加开发维护成本，还可能影响用户输入的原始语义（比如用户原本想输入的就是data:，转义后展示或存储的内容会被修改）
• 敏感度级别调整是WAF原生的误报优化手段，无需修改业务代码，且能在保持安全防护的前提下降低误报率

如果调整敏感度后仍存在无法接受的误报，再考虑结合数据转义的方案，但这是次选。

Cloud Armor敏感度（偏执级别）功能解析 #

Cloud Armor的OWASP CRS规则集的敏感度级别（0-4）本质是规则严格程度的梯度控制，并非简单的布尔匹配开关：

• 级别0：最宽松，仅拦截明确的、无争议的攻击行为，误报率最低
• 级别4：最严格，会拦截所有疑似攻击的模式，误报率最高

当你将敏感度设为1且规则匹配时，Cloud Armor会根据该级别对应的规则逻辑判断是否拦截：

• 每个OWASP CRS规则都关联了不同敏感度级别的触发条件，级别1会跳过部分过于严苛的匹配逻辑，只拦截更明确的攻击模式。比如对于owasp-crs-v030301-id941170-xss规则，级别1可能会忽略data:后跟普通文本的场景，只拦截data:后跟可执行脚本或危险属性的情况。

关于evaluatePreconfiguredExpr对应的敏感度级别：

• evaluatePreconfiguredExpr是Cloud Armor中引用预配置规则表达式的方法，它对应的敏感度级别取决于你在配置规则时指定的paranoiaLevel参数。如果未手动指定，默认会使用预配置规则的默认级别（通常为1或2，具体取决于规则集版本）。

内容的提问来源于stack exchange，提问作者JayMc