Web应用防火墙（WAF）是抵御应用层攻击、尤其是各类注入攻击的重要屏障。作为开源WAF的行业标杆，ModSecurity配合OWASP核心规则集（CRS），能够提供开箱即用的强大防护能力。在实际生产环境中直接开启所有拦截规则，往往会引发大量的误报（False Positives），导致正常用户的合法操作被阻断。如何在保持高防御水位的同时降低误报率，是WAF运维中极具技术含量的调优工作。
OWASP CRS采用了异常评分机制（Anomaly Scoring Mode）而非单纯的立刻拦截。当请求触发某条规则时，系统不会立即抛弃该请求，而是累加一个异常分数。只有当总分数超过预设的阈值时，WAF才会执行阻断动作（如返回403 Forbidden）。CRS还引入了偏执级别（Paranoia Level，PL1到PL4）的概念。PL1级别包含了经过严格测试、误报率极低的核心规则，适合大多数常规网站；而PL4级别则会开启极其严苛的字符限制和正则匹配，专门针对高度敏感的金融或军事系统。对于常规的Web应用，通常建议从PL1开始部署，并逐步观察流量特征。
在处理富文本编辑器提交或复杂的JSON负载时，默认规则经常会将其中的特殊符号（如尖括号、单引号、系统保留字）误判为SQL注入或XSS攻击的特征。调优的核心手段是编写针对性的规则排除（Rule Exclusions）。利用SecRuleRemoveById可以在全局禁用某些导致误报的特定规则ID。更为精细的做法是基于特定URI或特定请求参数来豁免规则。通过匹配请求头中的路径，结合ctl:ruleRemoveTargetById指令，可以仅在某个特定的API接口上，忽略对某个具体JSON字段的校验，而保持对其他参数的严密监控。
部署WAF初期的最佳实践是将其置于检测模式（DetectionOnly），让真实业务流量通过系统，收集一到两周的日志数据。通过对ModSecurity的审计日志（Audit Log）进行聚合分析，提取出触发频率最高的规则ID和对应的访问路径。安全工程师需要逐一核对这些日志中的载荷，判断其是恶意探测还是业务正常行为。橙星云在部署WAF时，针对包含复杂专业术语和特殊字符的心理测评问卷提交接口，专门提取了流量特征进行规则级别的参数豁免，在不削弱整体防护的前提下消除了误拦截。
在调优过程中，还应当关注规则执行带来的性能开销。复杂的正则表达式引擎在处理超长请求体时可能会消耗大量的CPU资源，甚至引发拒绝服务。通过合理设置SecRequestBodyLimit限制最大检查数据量，以及对静态资源文件（如图片、CSS、JS）彻底关闭WAF检查，可以显著降低网关层的延迟。WAF规则调优是一个随着业务演进而持续迭代的过程，要求工程师既具备对攻防对抗的敏锐嗅觉，又对业务本身的逻辑有深入的理解。