普通英文文本触发ModSecurity/WAF的CRS规则该如何处理？

CRS（OWASP核心规则集）默认存在合理误判率，正常业务场景下不需要全局关闭规则，通过规则适配调优即可兼顾安全和业务可用性，具体操作流程如下：

1. 先定位触发的规则信息 #

首先查看WAF拦截日志，确定触发告警的具体规则ID、匹配的参数位置、请求路径：

• 示例中人名带撇号、or 1=1 这类内容通常触发942开头的SQL注入检测规则
• <p>标签、引号内容通常触发941开头的XSS检测规则

2. 用定向排除策略替代全局关规则 #

仅针对误判的场景关闭对应规则，其余场景保留防护能力，常用排除策略如下：

• 按请求路径排除：如果特殊内容只会提交到特定接口（比如示例中的Test/Index接口），仅在该路径下关闭对应触发的规则，其余路径仍保留防护。
• 按参数名排除：如果只有特定字段允许输入特殊内容（比如示例中的someText字段、用户名字段、备注字段），仅针对该参数关闭对应规则，其余参数仍保留检测。
• 按请求格式排除：示例中提交的是application/json格式请求，CRS默认对表单格式的匹配逻辑对JSON请求存在冗余误判，可单独给JSON类型请求调整规则匹配逻辑。

3. 调整规则触发阈值 #

CRS默认偏执等级（paranoia level）为1，若你将等级调整到2及以上，误判率会大幅升高，普通业务场景保持等级1即可。同时可降低单条弱特征的匹配得分，只有当请求累计命中多个恶意特征时才触发拦截，进一步降低误判概率。

示例场景专属处理方案 #

你给出的几个误判场景都有成熟的处理逻辑：

• 人名带撇号、正常文本中出现SQL关键字：如果后端已经使用预编译SQL，本身不存在SQL注入风险，直接关闭对应SQL注入规则对业务字段的检测即可，完全不影响安全。
• 允许用户输入HTML标签的富文本场景：关闭对应XSS规则对富文本字段的检测，后端单独做富文本内容过滤即可，不需要依赖WAF的XSS规则。

你给出的代码示例对应正常业务代码如下：

var data = { model: { someText: "mark o'brien o'reilly" } };
//var data = { model: { someText: "mark o\'brien o\'reilly" } };
//var data = { model: { someText: "Area 5 or 7" } };
//var data = { model: { someText: "Examples of quotes are:\"To be...\", \"Never before...\"" } };
//var data = { model: { someText: "test <em><strong>1</strong></em>" } };

//var data = { model: { someText: ":\"" } };
//var data = { model: { someText: "or 1=1" } };
//var data = { model: { someText: "<p>" } };

$.ajax({
     type: 'POST',
     url: "Test/Index",
     contentType: 'application/json; charset=utf-8',
     
     data: JSON.stringify(data),
     success: function (result)
     {
     },
     error(e)
     {
         alert('error')
     }
 });

内容的提问来源于stack exchange，提问作者tony