Web 應用防火牆

Vibe Prompt

「幫我寫 OWASP ModSecurity Core Rule Set (CRS) 設定檔，防護 SQL Injection 與 XSS。」

ModSecurity 安裝

# Nginx + ModSecurity
docker run -p 80:80 -p 443:443 \
  -v ./modsec.conf:/etc/nginx/modsec/modsec.conf \
  owasp/modsecurity-crs:nginx

CRS 規則

# 啟用 CRS
Include /etc/modsecurity.d/owasp-crs/crs-setup.conf
Include /etc/modsecurity.d/owasp-crs/rules/*.conf

# SQL Injection 偵測
SecRule ARGS "@detectSQLi" \
  "id:942100,phase:2,deny,status:403,
   msg:'SQL Injection Detected'"

# XSS 偵測
SecRule ARGS "@detectXSS" \
  "id:941100,phase:2,deny,status:403,
   msg:'XSS Detected'"

# 限制請求體大小
SecRequestBodyLimit 1048576

Cloudflare WAF

# Cloudflare 防火牆規則（儀表板設定）
- 規則: 阻擋 SQL Injection
- 規則: 阻擋 XSS
- 規則: 阻擋已知攻擊者 IP
- 速率限制: 每 IP 每分鐘 100 次
- 瀏覽器完整性檢查: 開啟

CDN + WAF 架構

使用者 → Cloudflare CDN (DDoS 防護 + WAF) → Nginx (ModSecurity) → 應用
                               ↓
                        阻擋惡意流量

本章總結

• 理解核心概念與原理
• 掌握實作方法與技巧
• 熟悉常見問題與解決方案
• 能夠應用於實際專案

延伸閱讀

• 官方文件與 API 參考
• GitHub 開源專案範例
• 相關技術書籍與課程
• 社群討論與技術部落格

實作範例

基礎範例

# 本節提供一個完整的實作範例
# 讓你能夠將所學應用到實際專案中

步驟說明

1. 初始化：設定開發環境與必要工具
2. 資料準備：收集與整理所需資料
3. 核心實作：實作主要功能與邏輯
4. 測試驗證：確保功能正確運作
5. 最佳化：調整效能與使用者體驗

常見錯誤

| 錯誤類型 | 可能原因 | 解決方法 | |---------|---------|---------| | 編譯錯誤 | 語法問題 | 檢查程式碼語法 | | 執行錯誤 | 環境問題 | 確認相依套件已安裝 | | 邏輯錯誤 | 演算法問題 | 逐步除錯與測試 | | 效能問題 | 效率問題 | 使用效能分析工具 |

程式碼範例

# 範例程式碼
import sys

def main():
    # 主程式邏輯
    print("Hello, World!")

if __name__ == "__main__":
    main()

相關資源

• 官方文件
• API 參考手冊
• 開源專案範例
• 技術社群討論