校园网仅封禁单个学生站点提示Mal/HTMLGen-A威胁的原因咨询

• 子域名/主机IP的历史标记问题：你使用的是免费公共主机服务，该站点绑定的子域名或分配的IP此前可能被其他用户用于发布恶意内容，已经被校园网的威胁情报库标记为风险，即使后续你部署了干净代码，旧的风险标记也没有同步清除。
• 免费主机的额外注入内容：相同服务商的免费实例可能会随机注入广告、统计脚本，你的站点刚好被注入了命中Mal/HTMLGen-A检测规则的脚本内容，其他同学的实例没有触发注入，所以没有被封。
• 检测规则的特征碰撞：即使核心PHP代码完全一致，只要页面存在细微差异（比如你修改了页面文本、站点标题，或者主机返回的HTTP头参数不同），就有可能刚好匹配上校园网WAF的恶意特征规则，触发误判。
• 校园网检测节点的规则差异：校园网不同出口的WAF节点可能存在规则版本、检测阈值的差异，你访问站点时走的节点刚好更新了新版本的检测规则，其他同学访问时走的旧规则节点没有命中拦截条件。
• 访问行为触发的联动标记：如果你此前测试站点时存在短时间高频请求、异常参数提交等行为，可能先被校园网判定为异常访问，后续站点被联动标记为风险站点触发拦截。

内容的提问来源于stack exchange，提问作者marvR