ModSecurity OWASP 3.3.2阻断Nextcloud功能，求助解决误报问题

问题根源分析 #

从审计日志来看，核心触发点是规则920420（Request content type is not allowed by policy）：当同步应用上传image/png等媒体文件时，该规则判定请求内容类型不在允许列表中，累计异常分达到阈值后触发949110规则的403拦截。同时你之前添加的排除规则存在三个问题：

• 仅针对/remote.php/dav/files/admin/路径，未覆盖/index.php/apps/files/等其他Nextcloud核心操作路径
• 规则执行阶段设为phase:2，晚于CRS核心规则的执行时机，无法提前排除
• 错误尝试移除980130（仅为响应阶段告警规则）和949110（拦截触发规则），未解决误报的源头

分步修复方案 #

1. 移除无效的自定义规则 #

首先删除你添加到REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf中的以下规则：

SecRule REQUEST_URI "@beginsWith /remote.php/dav/files/admin/" \
 "id:10000003,\
 phase:2,\
 pass,\
 nolog,\
 ctl:ruleRemoveTargetById=921110,\
 ctl:ruleRemoveTargetById=980130,\
 ctl:ruleRemoveTargetById=949110"

2. 添加针对性的排除规则 #

在REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf中添加以下规则，覆盖Nextcloud所有核心操作路径并排除触发误报的源头规则：

方案A：直接排除Nextcloud路径下的920420规则

# 排除文件管理页面的920420内容类型校验规则
SecRule REQUEST_URI "@beginsWith /index.php/apps/files/" \
"id:10000004,\
phase:1,\
pass,\
nolog,\
ctl:ruleRemoveById=920420"

# 排除WebDAV同步路径的920420规则
SecRule REQUEST_URI "@beginsWith /remote.php/dav/" \
"id:10000005,\
phase:1,\
pass,\
nolog,\
ctl:ruleRemoveById=920420"

# 排除Nextcloud主入口及其他核心路径的920420规则（可选，按需添加）
SecRule REQUEST_URI "@beginsWith /index.php/apps/" \
"id:10000006,\
phase:1,\
pass,\
nolog,\
ctl:ruleRemoveById=920420"

方案B：扩展允许的内容类型（更安全，推荐）

如果你不想完全禁用920420规则，可将Nextcloud同步所需的媒体类型加入允许列表：

# 向允许的内容类型列表添加Nextcloud同步常用的媒体格式
SecAction "id:10000007,\
phase:1,\
pass,\
nolog,\
setvar:'tx.allowed_request_content_type|=image/png,image/jpeg,image/gif,image/webp,video/mp4,audio/mpeg'"

3. 验证与测试 #

• 重启你的Web服务器（Apache或Nginx）使规则生效
• 测试桌面同步客户端、移动端上传图片/文件、WebDAV操作
• 检查ModSecurity审计日志，确认920420误报和949110拦截不再出现

额外排查建议 #

如果仍存在其他误报：

• 从审计日志中提取触发的规则ID，重复上述步骤添加针对性排除
• 确认REQUEST-903.9003-NEXTCLOUD-EXCLUSION-RULES.conf中的规则已正确加载（可通过ModSecurity状态页或日志验证）
• 若使用高偏执级别（Paranoia Level >1），可能需要额外排除更多规则，建议先降至PL1测试

内容的提问来源于stack exchange，提问作者nonhocapito