Azure Application Gateway开启Inspect request body size后站点异常解决方案问询

首先确认异常根因为请求体超过默认128KB阈值被WAF拦截，排除业务自身代码、后端服务连通性等其他问题后，可按适用场景选择以下解决方案：

方案1：调整Max body size参数（优先推荐，成本最低且平衡安全与业务需求） #

• 适用场景：后端应用存在合法的大请求体业务场景（比如文件上传、批量数据提交等），且需要保留WAF的请求体恶意内容检测能力
• 操作要点：
  • 先统计所有后端应用的合法最大请求体数值，取最大值加20%左右的冗余量作为全局参数，Azure Application Gateway v2 SKU最高支持2MB的请求体大小上限
  • 若不同应用的请求体大小差异极大，可配置自定义WAF策略，按域名、接口路径粒度设置不同的请求体大小限制，无需全局统一调大，降低安全风险
  • 调整完成后先验证所有提交、上传类接口可用性，同时监控WAF拦截日志，确认无误拦截情况

方案2：关闭Inspect request body size功能（仅特定场景适用） #

• 适用场景：所有后端应用已在应用层实现完善的请求体安全校验，无需依赖网关WAF做请求体内容检测；或者特定路径的请求体属于加密内容，WAF无法识别无检测价值
• 注意事项：
  • 全局关闭该功能后，WAF将不再扫描请求体内容，会大幅提升恶意请求（比如SQL注入、webshell上传）绕过防护的风险，非必要不选择该操作
  • 若仅部分路径不需要检测，可配置WAF排除规则，仅针对特定域名、路径关闭请求体检测，其余业务路径保留防护能力

方案3：新增额外的Application Gateway实例（非根因解决方案，仅配合架构调整使用） #

• 适用场景：不同应用的安全等级、请求体大小要求差异极大，无法通过单台网关的自定义策略适配；或者当前单台网关已经达到性能瓶颈，同时存在请求体大小限制问题
• 操作要点：
  • 按业务域、安全等级拆分应用到不同的网关实例，高安全等级的实例保留严格的请求体大小限制和全量WAF检测，大请求体的应用单独部署网关并配置适配的参数，业务间互不影响
  • 该方案会产生额外的云资源成本，仅在前两种方案无法满足需求的情况下考虑

总结：优先选择按粒度配置自定义WAF请求体大小限制的方案，尽可能保留请求体检测能力、不额外新增资源，平衡业务可用性和安全性。

内容的提问来源于stack exchange，提问作者Arkady Karasin