注意：以下文档只适用于TOP接口，请谨慎使用！
注意：以下文档只适用于TOP接口，请谨慎使用！
精准访问规则指对常见的HTTP字段（如IP、URL、Referer、UA、参数等）进行条件组合，配置支持业务场景定制化的防护策略，可用于盗链防护、网站管理后台保护等精准访问控制策略配置。
精准访问控制规则由匹配条件与匹配动作构成。
匹配条件包含匹配字段、逻辑符、匹配内容三大要素。通过设置匹配字段、逻辑符和相应的匹配内容定义匹配条件，针对符合匹配条件规则的访问请求定义相应的动作。
说明：匹配内容暂时不支持通过正则表达式描述；匹配内容允许设置空值。
| 匹配字段 | 字段描述 | 适用逻辑符 |
| IP | IP代表访问请求的来源IP。 |
|
| URL | URL代表访问请求的URL地址。 |
|
| Referer | Referer代表访问请求的来源网址，即该访问请求是从哪个页面跳转产生的。 |
|
| User-Agent | User-Agent代表发起访问请求的客户端的浏览器标识、渲染引擎标识和版本信息等浏览器相关信息。 |
|
| Params | Params代表访问请求的URL地址中的参数部分，通常指URL中”?”后面的部分。例如，www.abc.com/index.html?action=login中的action=login就是参数部分。 |
|
| Cookie | Cookie代表访问请求中的Cookie信息。 |
|
| Content-Type | Content-Type代表访问请求指定的响应HTTP内容类型，即MIME类型信息。 |
|
| X-Forwarded-For | X-Forwarded-For代表访问请求的客户端真实IP。XFF用来识别通过HTTP代理或负载均衡方式转发的访问请求的客户端最原始的IP地址的HTTP请求头字段，只有通过HTTP代理或者负载均衡服务器转发的访问请求才会包含该项。 |
|
| Content-Length | Content-Length代表访问请求的响应内容所包含的字节数。 |
|
| Post-Body | Post-Body代表访问请求的响应内容信息。 |
|
| Http-Method | Http-Method代表访问请求的方法，如GET、POST等。 |
|
| Header | Header代表访问请求的头部信息，用于自定义HTTP头部字段。 |
|
说明：包年包月模式WAF高级版与按量付费模式WAF的精准访问控制基础防护功能仅支持IP、URL、Referer、User-Agent匹配字段，且最多只能定义10条精准访问控制规则。
注意事项：
1）每一条精准访问控制规则中最多允许设置三个匹配条件进行组合。
2）同一条精准访问控制规则中的多个匹配条件之间是“与”的逻辑关系，即访问请求必须同时满足所有匹配条件才算命中该精准访问控制规则，并执行相应的匹配动作。
精准访问控制规则支持以下四种匹配动作：
1）阻断：符合匹配条件的访问请求将被直接阻断。
2）放行：符合匹配条件的访问请求将被放行。
3）告警：符合匹配条件的访问请求将被放行，同时WAF会对该请求进行告警。
4）captcha（人机识别验证）：符合匹配条件的访问请求需要通过人机识别验证后方可继续访问。
说明：其中，选择放行、告警或captcha匹配动作后，您可进一步设置该请求是否需要继续经过其它WAF防护功能过滤，包括Web应用攻击防护、CC应用攻击防护、智能防护、地区封禁、数据风控、SDK防护等。即未被精准访问控制规则阻断的请求是否进一步经过其它WAF防护功能的检测。
精准访问控制规则之间是有先后匹配顺序的，即访问请求将根据所设定的精准访问控制规则依次进行匹配，顺序较前的精准访问控制规则优先匹配。
您可以通过规则排序功能对所有精准访问控制规则进行排序，以获得最优的防护效果。
您可以参考以下操作步骤，为已防护的域名配置精准访问控制：
1. 登录到云盾Web应用防火墙控制台，定位到管理>网站配置。
2. 选择已添加的网站域名记录，单击防护配置。
3. 定位到精准访问控制功能项，开启该功能并单击前去配置配置精准访问控制规则。
4. 单击新增规则，设置规则的匹配条件和相应的匹配动作，单击确定，即可为该域名添加精准访问控制规则。
说明：在精准访问控制规则列表页面，单击规则排序，通过单击上移、下移等可调整精准访问控制规则的排序。
精准访问控制规则支持多种配置方法，您可以结合自身业务特点定义相应的规则。
您甚至可以通过设置精准访问控制规则实现特定的Web漏洞防护。
通过设置以下精准访问控制规则，阻断来自1.1.1.1的所有访问请求。
通过设置以下精准访问控制规则，放行来自2.2.2.0/24网段的所有访问请求。
注意：应用此白名单配置规则时，请不要勾选继续执行Waf应用攻击防护和继续执行CC应用攻击防护等选项，不然访问请求仍可能被WAF的其它防护功能所拦截。
通过分析某类特定的WordPress反弹攻击，发现其特征是User-Agent字段都包含WordPress。
因此，可以设置以下精准访问控制规则，拦截该类WordPress反弹攻击请求。
关于WordPress攻击的详细防护配置，请参考防御WordPress反射。
如果您遇到有大量IP在刷某个特定且不存在的URL，您可以通过配置以下精准访问控制规则直接阻断所有该类请求，降低源站服务器的资源消耗。
通过配置Referer匹配字段的访问控制规则，您可以阻断特定网站的盗链。例如，您发现abc.blog.sina.com大量盗用本站的图片，您可以配置以下精准访问控制规则阻断相关的访问请求。
