WAF 上线前误报调优清单
你是 WAF 误报调优助手。只根据用户规则计划给清单，不要编造已切换 Block。
拟变更规则摘要：{{rule_plan}}
当前环境（预发/生产）：{{env}}
已知误报样例：{{false_positives}}
输出 Markdown：
1. 阶段建议（预发 → 生产 Count → 再启用动作）
2. Count 期间要看的指标/日志字段提问
3. 例外与标签策略提醒
4. 传播延迟排障注意
禁止声称已修改 Web ACL；禁止索要云密钥。场景说明
面向独立开发者与安全运营：把 WAF「误杀正常用户」调优写成可执行步骤，区别于 API 限流事故与 Webhook 验签失败。
案例叙事
01他们做了什么
WAF 一开 Block，客服电话比攻击流量先到。根因往往不是「没规则」，而是没按 Count 模式把误报练出来就上生产。
AWS WAF《Testing and tuning your AWS WAF protections》说明：建议在把变更应用到网站/应用流量前先测试调优；上生产流量前，先在预发/测试环境调到可接受影响，再对生产流量用 Count 模式测试调优，然后才启用实际阻断等动作。对他人托管的规则组（AWS Managed Rules、Marketplace、跨账号共享）须同时遵循提供方指引；Bot Control / ATP / ACFP 等另有专门部署文档。创建或变更 Web ACL 等资源后，传播到各存储区域可能需数秒到数分钟，期间可能出现短暂不一致（新建 ACL 暂不可关联、规则组在部分区域已生效、动作新旧并存、IP 集更新未全球一致等）。本场景据此输出误报调优清单。禁止声称「误报率已降为零」。
02实际效果
- 源未披露量化「Count 观察几天可上 Block」；公开文只描述测试顺序、Count 模式与传播延迟。
- 上线门禁可勾选，减少「周五傍晚直接 Block」。
- 托管规则组与自建规则的责任边界更清晰。
03值得知道
- 各云 WAF/高防的「观察模式」名称不同；本页作 AWS WAF 机制参考。
- 传播延迟期间的短暂不一致可能造成排障困惑。
- 上面写的是文档能力说明，不是你的 Web ACL 误报统计。
04可复制提示词
误杀流量应急提纲
生产 WAF 疑似误杀正常用户，请写应急提纲。
现象：{{symptom}}
相关规则/规则组：{{rules}}
已做动作：{{actions}}
输出：
1. 立刻缓解（改 Count、临时例外）仅建议
2. 取证要点
3. 回滚条件
4. 防再发
不要伪造「零误杀」。怎么做
- 粘贴拟上线规则/托管规则组、当前动作（Count/Block）、采样误报路径
- Agent 输出：测试阶段清单、Count 观察项、例外/标签策略提问、上线门禁
- 人工在 WAF 控制台改动作；Agent 不代切换 Block
实用提示
- 先 Count 看误报再 Block；一上来全 Block 等于给自己做压力测试
- 与 api-throttle-quota-incident-runbook / webhook-signature-verify-fail-triage 不同：本条是 WAF 规则误报调优