安全防护策略

涵盖 AST 语义分析引擎、自定义正则规则、IP/GeoIP、Bot 挑战验证、滑动窗口限流、ACL 与拦截页配置。

CheeseWAF 构建了从网络接入层到应用语义层的多维度防御体系。全局防护基线由主配置文件中的 protection 与 protection.policy 定义，同时支持在各业务站点（sites[].waf.protection_policy）中按需覆盖。

多层递归解码、AST 语法树构建及各专项语义引擎配置与分析预算控制。

基于正则表达式的 URI、请求头及参数匹配规则，支持优先级与威胁等级管理。

IP 白名单、黑名单、GeoIP 国家/地区封禁、威胁情报源同步与客户端软指纹识别。

无感 JS 挑战、PoW（Altcha）、交互式滑块/图形验证码及排队室流量削峰机制。

数据平面高性能分片滑动窗口计数器限流与超出阈值后的排队/阻断策略。

基于 HTTP 请求方法、路径前缀及特定请求头的快速放行与阻断规则。

内置现代拦截页模板、自定义 HTML 上传及请求追踪编号（Trace ID）展示。

AST 语义分析引擎

基于多层递归解码与抽象语法树（AST）语法分析的现代 Web 攻击检测引擎，具备 97.08% 实网语料检出率与微秒级预筛选性能。

编写基于 Go RE2 正则表达式的高性能匹配规则，支持优先级排序、匹配位置定位、校验约束与批量导入导出。

配置 IP 黑白名单、GeoIP 国家封禁、威胁情报源同步及客户端软指纹防御体系。

配置无感 JavaScript 挑战、PoW 工作量证明、滑块与图形验证码、管理端登录防护及排队室削峰机制。

基于分片滑动窗口计数器的数据平面全局限流与排队削峰机制。

基于 HTTP 请求方法、URI 路径前缀及请求头的快速放行与阻断控制。

配置内置拦截页模板、自定义 HTML 响应页、SanitizeBlockPageHTML 存储型 XSS 防御与请求追踪编号（Trace ID）机制。