Linux版Firefox访问网站返回403，修改UA为Chrome可正常访问的根因排查

这类批量出现的同模式403故障，本质是站点所共用的Web应用防火墙（WAF）存在粗糙的字符串匹配误拦截规则，和前端兼容性、开发者浏览器适配没有任何关系。

• 很多第三方安全防护组件的规则设计目标是拦截批量扫站的恶意爬虫：早期大量爬虫脚本会直接复用Linux Ubuntu环境下Firefox的默认原生UA格式，批量发起恶意请求。
• 规则编写者为了简化逻辑，没有做UA合法性校验、恶意请求特征匹配，仅做了最粗放的子串匹配：只要请求头的UA字段内，不区分大小写出现完全格式匹配的字符序列X11; Ubuntu; Linux，就直接判定为恶意流量，返回403禁止访问。
• 这条偷懒实现的粗糙规则，完全能对应你测试的所有结果：
  • 只要子串缺一个字符（比如把Linux写成Linu/inux、把Ubuntu换成Xubuntu、省略开头的括号内容），就匹配不上规则，请求正常放行
  • 只要大小写正确、分号/空格格式和目标序列完全一致，哪怕UA里只有这几个字符，都会被拦截返回403

多组无关联站点出现完全一致的故障，是因为这类站点大多是共用同一套第三方建站+安全防护SaaS服务，或是用了存在同类错误规则的开源WAF组件：

• 中小商家的官网大多没有独立运维团队，直接由建站平台统一部署WAF规则，平台方的规则写错后，所有托管在该平台的站点会同步触发相同故障
• 旧版本开源WAF规则集（比如早期ModSecurity社区规则库）确实存在过这条误拦规则，会直接把原生Ubuntu环境下的Linux Firefox用户识别为恶意爬虫。

不需要笼统描述“站点无法访问”，可以直接附上可复现的明确证据，跳过无意义的用户端问题排查：

• 将浏览器UA修改为Chrome的对应字符串，站点可正常加载
• 将当前Linux Firefox的UA中Ubuntu后的Linux替换为任意错拼字符，站点可正常加载
• 直接发送仅携带X11; Ubuntu; Linux字符串的UA请求，会触发403返回
  这类证据可以直接引导运维人员定位到WAF的子串匹配规则错误，不需要再将故障归因到用户设备、浏览器插件等无关因素。

内容的提问来源于stack exchange，提问作者JeroenHoek