单用户Webmail发件触发ModSecurity 403错误的排查求助

• 针对Webmail发信路径精准禁用单条规则
  避免全局关闭XSS防护，仅在触发问题的接口上跳过COMODO WAF的213060规则，在ModSecurity配置文件中添加：

  SecRule REQUEST_URI "@streq /webmail/send" "id:100000,phase:1,nolog,pass,ctl:ruleRemoveById=213060"
  

  替换/webmail/send为实际的发邮件接口路径。
• 基于用户账号而非IP设置白名单
  由于用户是动态IP，改用Webmail的登录用户标识做白名单，比如：

  SecRule REMOTE_USER "@eq 问题用户的Webmail账号" "id:100001,phase:1,nolog,pass,ctl:ruleRemoveById=213060"
  

  这样不管用户IP怎么变，只要用该账号登录就不会触发拦截。
• 调整规则匹配范围（谨慎操作）
  若确认是误判，可修改213060规则的匹配参数，将ARGS:Parameters排除特定字段，或者降低规则的偏执级别（Paranoia Level），但修改前需备份原规则文件，避免影响整体防护。

• 用浏览器隐私/无插件模式测试：直接打开隐身窗口登录Webmail发信，若正常则说明是浏览器插件（如翻译、密码管理、广告拦截插件）篡改了请求参数，逐一禁用插件排查具体元凶。
• 禁用浏览器自动填充：手动输入邮件主题和内容，不要使用自动填充功能，部分自动填充的内容可能携带特殊字符或被篡改的代码片段。
• 更换浏览器测试：换用不同内核的浏览器（如从Chrome换成Firefox/Edge）发信，排除当前浏览器本身的问题。
• 临时关闭本地安全软件：暂时禁用杀毒软件、防火墙的HTTP扫描功能，测试是否是安全软件修改了请求内容导致误判。
• 检查邮件内容：确认邮件中没有包含<、>、script等HTML标签或特殊字符，尝试用纯文本发送测试。

内容的提问来源于stack exchange，提问作者Paul