如何配置排除规则让socket.io流量通过Azure Web应用防火墙？

当WAF处于prevention mode拦截Socket.io流量时，需针对Socket.io的通信特征配置精准排除规则，避免过度放宽影响安全防护，具体配置方向如下：

• 排除Socket.io专属路径：Socket.io默认使用/socket.io/路径（若应用自定义了路径，替换为实际路径），配置路径匹配的排除规则，覆盖该路径下所有请求。
• 排除WebSocket升级请求头部：Socket.io初始握手会携带Upgrade: websocket和Connection: Upgrade头部，针对这两个头部配置排除，防止WAF误判异常请求。
• 排除Socket.io特定查询参数：Socket.io请求通常包含EIO、transport等查询参数（如?EIO=4&transport=websocket），针对这些参数名配置排除，避免WAF对参数内容误拦截。
• 排除WebSocket帧流量：连接升级为WebSocket后，流量采用帧格式，WAF可能误判非HTTP标准流量，需针对WebSocket协议配置流量排除（Azure WAF支持该类规则）。

配置注意事项：

• 尽量缩小排除范围，比如限定路径+头部的组合，而非全局排除，降低安全风险。
• 先将WAF切换至detection mode验证规则有效性，确认无误后再切回prevention mode。

内容的提问来源于stack exchange，提问作者Kevin Le - Khnle