Delta E-Commerce 使用带有 WAF_v2 的 Application Gateway v2 来保护结账端点。他们观察到，对于包含“=”和“or”字符串的合法 JSON 有效负载，OWASP CRS 3.2 SQLi 规则产生了误报。他们希望保持全局 OWASP 规则集处于活动状态，但排除针对 /api/checkout 路径的特定规则，而无需全局禁用该规则。哪种配置可以实现此目的？

正确的做法是创建 WAF 自定义排除项。Azure Application Gateway WAF 允许您为特定路径或请求属性定义排除项，以防止误报。通过指定针对 /api/checkout 路径的请求正文，并排除导致误报的特定 OWASP SQLi 规则 ID（例如 942100），您可以精确地解决问题，而无需全局禁用规则集。 全局禁用 OWASP CRS 3.2 SQLi 规则会降低所有端点的安全性，这不是一个理想的解决方案。部署一个不带 WAF 的单独 Application Gateway 会增加复杂性和成本，并且会使 /api/checkout 路径完全不受 WAF 保护。将 WAF 策略降级到“检测”模式并依赖 Azure Monitor 警报无法主动阻止攻击，仅提供检测功能，不符合保护结账端点的要求。