为何启用WAF后Laravel网站出现502/504错误导致“崩溃”？

一、核心调整：白名单WAF健康检测流量 #

先联系主机服务商获取WAF健康检测的IP段或User-Agent标识，再通过以下方式放行流量：

1. 信任WAF代理IP
   修改app/Http/Middleware/TrustProxies.php，将WAF的IP添加到$proxies数组，让Laravel识别这些流量为合法代理请求：

   protected $proxies = [
       '192.168.1.0/24', // WAF的IP段示例
       '203.0.113.5', // 单个WAF IP示例
   ];
   

2. 绕过请求频率限制
   如果Laravel的节流中间件（Throttle）拦截了WAF的高频检测，在app/Providers/RouteServiceProvider.php的configureRateLimiting方法中为WAF IP添加白名单：

   protected function configureRateLimiting()
   {
       RateLimiter::for('web', function (Request $request) {
           return Limit::perMinute(100)->by($request->ip())
               ->unless(function (Request $request) {
                   // 替换为实际的WAF IP列表
                   return in_array($request->ip(), ['192.168.1.10', '203.0.113.5']);
               });
       });
   }
   

3. 跳过CSRF验证（针对POST类型检测）
   若WAF用POST请求做健康检测，修改app/Http/Middleware/VerifyCsrfToken.php，将检测路径或IP加入例外：

   protected $except = [
       '/waf-health-check', // 固定检测路径
   ];
   // 或在handle方法中按IP判断放行
   public function handle(Request $request, Closure $next)
   {
       $wafIps = ['192.168.1.10', '203.0.113.5'];
       if (in_array($request->ip(), $wafIps)) {
           return $next($request);
       }
       return parent::handle($request, $next);
   }
   

二、第三方工具包选择建议 #

• Akaunting：是会计管理系统，和WAF流量冲突问题无关，无需考虑。
• Shieldon：轻量级Web防火墙，适配Laravel等PHP框架，可快速配置IP/UA白名单、请求规则，精准放行WAF检测流量。部署仅需安装包、注册服务提供者、添加全局中间件，不需要修改业务代码，适合你的场景。

三、额外排查步骤 #

• 查看服务器Nginx/Apache日志和Laravel的storage/logs目录下的日志，确认错误触发的具体原因（是Laravel拦截，还是服务器资源不足）。
• 若WAF检测频率过高，可联系服务商降低检测频次，避免服务器负载过高导致502/504。

内容的提问来源于stack exchange，提问作者Dev User