DCDN规则引擎-边缘安全加速(ESA)-阿里云帮助中心

规则引擎功能使用图形化方式配置条件规则。条件规则支持识别用户请求中的各种参数信息，以决定某个配置是否对该请求生效，可用于灵活、精确地控制DCDN的配置策略执行效果。

背景说明

阿里云DCDN产品控制台提供了配置缓存过期时间、回源参数改写等诸多基础功能，这些基础功能可以满足大部分常见的通用需求，但是还有一些需求是基础功能无法满足的。例如：将包含路径/example的请求回源到指定源站地址。类似这样的需求，就需要基础功能搭配规则引擎，才可以实现较为灵活的自定义配置。另外，阿里云DCDN产品还提供了边缘函数功能，能够实现高度灵活的用户定制需求。

配置能力	基础功能	基础功能+规则引擎	边缘函数
功能实现	常见的通用功能配置	较为灵活的自定义配置	高度灵活的自定义配置
使用场景	常见的通用需求	部分自定义高级配置需求	定制化的用户需求
上手难度（对用户技术要求）	低	中	高
配置灵活性	低	中	高

注意事项

单个域名下最多支持创建50个规则条件。
单个规则条件中的子条件数量最多不超过20个。
通过控制台或者OpenAPI来配置时，无法使用正则相关的匹配运算符（包括正则匹配和正则不匹配），但是可以查看已有配置。如果要使用正则相关的匹配运算符，推荐使用边缘安全加速。
通过控制台或者OpenAPI配置时，单个域名下所有功能对规则条件的总引用次数最大不超过5次。
规则条件支持嵌套，嵌套层次最多为3层，不同层级支持独立的逻辑关系设置。
缓存过期时间、修改出站请求头等其他功能引用规则条件后，按所关联规则条件的优先级执行，而非按功能自身的配置顺序执行。
上述数量限制中，50 个规则条件、20 个子条件、3 层嵌套为系统硬性上限，无法通过后台申请调整；单个域名下所有功能对规则条件的总引用次数上限（默认 5 次）支持申请提升。
- 若需提升单个域名下规则条件的总引用次数上限（默认 5 次），需提交工单申请，工单中需提供以下信息：需要提升的加速域名、目标引用次数、业务场景说明。
- 后续若新增其他加速域名，需为该域名单独提交工单申请提升规则条件引用次数，流程与首次申请一致。
- 暂无自动提升机制，提交工单后由后端人工审批处理。
每个条件的匹配值最多支持 32 个（适用于客户端 IP、URI、文件扩展名、文件名、User-Agent 等匹配类型）。若客户端 IP 白名单数量较多，建议将多个 IP 地址转换为 IP 段（CIDR 格式，例如 120.209.XXX.X/24）进行配置，以节省匹配值配额。
User-Agent 匹配值最多支持配置 32 个，超过该数量的配置不生效。若需匹配大量 User-Agent，建议使用通配符（*）合并相似的 UA 值（例如 *Chrome* 可覆盖所有 Chrome 浏览器版本），或改用边缘脚本实现更灵活的匹配逻辑。

规则条件的语法说明

一个规则条件由“逻辑判断运算符”与“条件表达式”构成，具体见下方说明。

逻辑判断（Logic）

对同一个层级内的条件（包括被嵌套的条件集合）进行逻辑判断，支持and和or。

and（并且）：逻辑与运算符，所有条件都为真才会匹配成功。
or（或者）：逻辑或运算符，其中一个条件为真即可匹配成功。例如为同一个响应头配置多个规则条件，可实现不同条件下添加相同响应头的效果。示例：当 URI 包含 /path-a 或 URI 包含 /path-b 时，执行添加响应头的操作。

条件表达式包含的参数

最小粒度的条件表达式包含以下参数：

参数名称	域名配置功能函数condition中对应的配置参数	参数说明	是否必填
条件匹配	match	表示条件匹配表达式。	是
逻辑判断	logic	表示条件匹配表达式的逻辑判断参数，取值为`and`和`or`。	是
条件判断内容	criteria	表示条件表达式的判断内容。	是
匹配类型	MatchType	表示对用户请求中携带的某一类型信息进行匹配。	是
匹配对象	MatchObject	表示对匹配类型进行进一步的细分，例如：客户端IP可以细分为“建联IP”和“XFF IP”。	否
匹配运算符	MatchOperator	表示匹配操作执行的具体动作。	是
匹配值	MatchValue	表示预先设定的匹配值，将会与用户请求中携带的信息进行匹配。	是
条件判断值取反	negate	表示是否对条件表达式的结果取反，取值为true和false。	是
大小写敏感	caseSensitive	表示对匹配值中的字符是否大小写敏感。	否
规则条件名称	name	表示规则条件的名称。	是
生效状态	status	表示规则条件的生效状态。	是

条件表达式的配置方法

匹配类型名称	域名配置功能函数condition中对应的配置参数	匹配类型含义	匹配对象	匹配运算符	匹配值	大小写敏感	对应nginx/tengine
协议类型	scheme	客户端请求使用的协议类型，例如：HTTP、HTTPS。	不涉及	等于不等于	http https	不涉及	$scheme
请求方法	method	客户端请求使用的请求方法，例如：GET、PUT。	不涉及	等于不等于	get put post delete head	不涉及	$request_method
URI（路径）	uri	客户端请求URL中的路径，不含请求参数，例如：`/favicon.ico`。	不涉及	包含其中任意一个不包含其中任意一个	支持通配符`?`和``, 例如：填写 `//my_path/*`，支持输入多个值。	区分大小写忽略大小写	$raw_uri或$uri
文件名	basename	客户端请求的文件的名称，例如：name1。	不涉及	包含其中任意一个不包含其中任意一个	支持通配符`?`和`*`，支持输入多个值。	区分大小写忽略大小写	-
文件扩展名	extension	客户端请求的文件的后缀名，从右向左识别，识别到第一个"."，例如：`.mp4`。	不涉及	包含其中任意一个不包含其中任意一个	支持通配符`?`和`*`，支持输入多个值。	区分大小写忽略大小写	-
Hostname	hostname	客户端请求携带的hostname，匹配顺序：请求URL中的host>请求头HOST中的host。	不涉及	包含其中任意一个不包含其中任意一个	用户请求的host，支持输入多个值。	区分大小写忽略大小写	$host或$http_host
客户端IP	clientip	客户端的IP。支持IPv4（例如`1.1.X.X`）、IPv6（例如`240e:95c:3004:2:3:0:0:XXX`）、支持网段（例如`20.209.XXX.XXX/31`）。	建联IP XFF IP 说明建联IP、XFF IP详细说明，请参见IP地址校验模式。	包含其中任意一个不包含其中任意一个	支持填写IPv6格式IP，例如：240e:XXX:3004:2:3:0:0:3f7，支持网段方式填写，例如：120.209.XXX.XXX/31，支持输入多个值。	不涉及	$remote_addr
客户端IP版本	clientipVer	IPv4或IPv6。	建联IP XFF IP 说明建联IP、XFF IP详细说明，请参见IP地址校验模式。	等于不等于	v4 v6	不涉及	-
用户网络运营商	geolocation	客户端IP归属的运营商。	建联IP XFF IP 说明建联IP、XFF IP详细说明，请参见IP地址校验模式。	包含其中任意一个不包含其中任意一个	可以通过下拉列表来选择，可以输入字符来过滤选项，支持输入ID或名称来模糊匹配查询，支持输入多个值。	不涉及	$ip_isp_id
用户IP地理位置	geolocation	客户端IP所处的地理位置。	建联IP XFF IP 说明建联IP、XFF IP详细说明，请参见IP地址校验模式。	包含其中任意一个不包含其中任意一个	可以通过下拉列表来选择，可以输入字符来过滤选项，支持输入ID或名称来模糊匹配查询，支持输入多个值。	不涉及	$ip_country_id
请求参数	querystring	用户请求URL中携带的请求参数。	输入参数名称。	存在不存在包含其中任意一个不包含其中任意一个大于大于等于小于小于等于	支持通配符`?`和`*`，支持输入多个值。	区分大小写忽略大小写	$arg_{name}
请求头	header	用户请求中携带的请求头。	支持输入参数名称，也支持通过下拉列表来选择参数。	存在不存在包含其中任意一个不包含其中任意一个大于大于等于小于小于等于	支持输入多个值。	区分大小写忽略大小写	$http_{name}
Cookie	cookie	请求携带的Cookie。	输入Cookie名称。	存在不存在包含其中任意一个不包含其中任意一个大于大于等于小于小于等于	支持通配符`?`和`*`，支持输入多个值。	区分大小写忽略大小写	$cookie_{name}
User-Agent	useragent	请求头里的User-Agent。	不涉及	包含其中任意一个不包含其中任意一个	可以选择下拉列表中的值，或者直接输入UA值，例如：`Chrome/25`，支持通配符`?`和`*`，支持输入多个值（最多仅支持配置32个UA，超过这个数量后，配置的UA不生效）。	区分大小写忽略大小写	$http_user_agent
Range分桶	range	将客户端请求分桶，按百分比执行。	不涉及	等于不等于	输入百分比的数值。	不涉及	-
时间	time	客户端请求发生的时间，时区为东八区（北京时间），例如：09:10~14:22。	不涉及	包含其中任意一个不包含其中任意一个	直接输入时间段，例如09:10~14:22 ，表示9点10分至14点22分。	不涉及	-
Nginx Var	ngxvar	当上方所有的变量均无法满足需求时，支持使用Nginx变量来配置，支持的变量详见Nginx官网：Nginx变量。	可以通过下拉列表来选择或直接输入变量名，支持`$region:$isp`这种拼接方式。	存在不存在包含其中任意一个不包含其中任意一个大于大于等于小于小于等于	支持输入多个值。	不涉及	${name}

条件表达式常见配置说明

URI（路径）匹配起始位置：URI 匹配的值为域名后第一个 / 开始的路径部分，不包含域名和请求参数。例如，对于请求 https://example.com/path/file.html?key=value，实际匹配的 URI 值为 /path/file.html。配置匹配值时需以 / 开头。
文件扩展名匹配格式：配置文件扩展名匹配时，匹配值必须包含点号（.）。例如，要匹配 .txt 文件，应填写 .txt 而非 txt，否则可能导致匹配失败。
通配符使用示例：URI 和文件扩展名均支持通配符 ?（匹配任意 1 个字符）和 *（匹配任意多个字符）。常用示例：
- /*.pdf：匹配根目录下所有 PDF 文件。
- /api/*/data：匹配 /api/ 下任意子路径中的 data 路径。
- .??：匹配所有两个字符的文件扩展名（如 .js、.ts）。

IP地址校验模式

规则引擎功能的“IP地址校验模式”分为两种，使用不同的“IP地址校验模式”会影响到DCDN节点对客户端IP的判断：

建联 IP：该模式匹配客户端与DCDN节点之间建连使用的IP，如果客户端与DCDN节点之间有经过代理服务器，那么建联IP=代理服务器IP。
XFF IP：该模式匹配用户请求中x-forwarded-for请求头携带的左边第一个IP，不论客户端与DCDN节点之间是否有经过代理服务器，XFF IP都=客户端真实IP。

选择使用哪一种“IP地址校验模式”主要取决于用户请求在经过DCDN节点时，中间是否有经过代理服务器。

需注意，引用规则条件的功能在DCDN节点上的生效位置也会影响到对“IP地址校验模式”的选择（对于在L2节点上生效的回源配置相关功能而言，用户请求经过的L1节点就相当于中间经过了代理服务器）。

示例：假设客户端真实IP为10.10.10.10，代理服务器IP为192.168.0.1。

没有经过代理服务器：
- 用户请求中x-forwarded-for请求头值：10.10.10.10。
- 客户端真实IP（即x-forwarded-for请求头携带的左边第一个IP）=客户端与DCDN节点建连IP=10.10.10.10。
经过代理服务器：
- 用户请求中x-forwarded-for请求头值：10.10.10.10,192.168.0.1。
- 客户端真实IP（即x-forwarded-for请求头携带的左边第一个IP）=10.10.10.10。
- 客户端与DCDN节点建连IP=代理服务器IP=192.168.0.1。
- 客户端真实IP（即x-forwarded-for请求头携带的左边第一个IP）≠客户端与DCDN节点建连IP。

少数ISP在特定区域可能会分配私有IP地址给用户端，导致DCDN节点接收到的是用户的私有IP地址。

说明

私有IP地址范围有以下三个：

A类私有IP地址：10.0.0.0～10.255.255.255，子网掩码：10.0.0.0/8
B类私有IP地址：172.16.0.0～172.31.255.255，子网掩码：172.16.0.0/12
C类私有IP地址：192.168.0.0~192.168.255.255，子网掩码：192.168.0.0/16

匹配运算符（matchOperator）

名称	域名配置功能函数condition中对应的配置参数	含义
等于	matchOperator为equals。	变量完全等于匹配值或者完全不等于匹配值的时候，条件才成立。
不等于	matchOperator为equals，并且参数negate的值为true。	变量完全等于匹配值或者完全不等于匹配值的时候，条件才成立。
存在	matchOperator为exists。	变量存在或者不存在时，条件即成立。
不存在	matchOperator为exists，并且参数negate的值为true。	变量存在或者不存在时，条件即成立。
包含其中任意一个	matchOperator为contains。	变量包含（不包含）任意一个匹配值的时候，条件即成立。最多支持32个匹配值。包含匹配的情况有两种：精确匹配：直接输入匹配对象，包含：a，必须=a才能匹配上。通配符匹配：可以加入``作为通配符，可以支持配置`a`、`a`、`a*`，可以对应abc、bca、bcabc。
不包含其中任意一个	matchOperator为contains，并且参数negate的值为true。
大于	matchOperator为gt。	即`>`
小于	matchOperator为lt。	即`<`
大于等于	matchOperator为ge。	即`>=`
小于等于	matchOperator为le	即`<=`
正则匹配	matchOperator为regex。	匹配值可以填写正则表达式，实现对变量的正则匹配。说明通过控制台或者OpenAPI来配置的情况下，无法使用正则相关的匹配运算符（包括正则匹配和正则不匹配），但是可以查看已经存在的配置，如果要使用正则相关的匹配运算符，请提交工单申请，或者使用边缘安全加速产品。
正则不匹配	matchOperator为regex，并且参数negate的值为true。

通配符

通配符号	含义	路径匹配示例
`?`	表示匹配任意1个字符。	`/img/?.png` 匹配 `/img/a.png`、`/img/b.png` 等单字符文件名的资源。
`*`	表示匹配任意多个字符。	`/api/` 匹配 `/api/` 下的所有路径（如 `/api/v1/users`、`/api/v2/products`）；`/static/.css` 匹配 `/static/` 目录下所有 CSS 文件。

当前支持引用规则条件的功能

功能分类	功能名称
回源配置	指定源站回源HOST
	修改入站请求头
	回源HTTP请求头（新）
	回源HTTP响应头
缓存配置	配置缓存过期时间
	修改出站响应头
	自定义Cachekey

说明

当其他功能（如缓存过期时间、修改出站请求头等）引用本规则引擎中配置的规则条件时，这些功能的执行顺序不是按照各自配置的优先级顺序，而是按照本规则引擎中配置的规则条件的优先级顺序来执行。

操作步骤

登录DCDN控制台。
在左侧导航栏，单击域名管理。
在域名管理页面，找到目标域名，单击操作列的配置。
在目标域名的左侧导航栏，单击规则引擎。
单击添加规则。
在添加规则页面，设置规则名称和规则内容。
单击提交，完成配置。