如果您的站点需要自定义控制用户的访问策略，您可以在自定义规则中设置请求匹配条件，并通过拦截、观察等方式控制匹配到的用户请求，帮助您的站点更加灵活的限制用户可访问的内容。
客户端 IP 归属的准确性说明
使用 WAF 自定义规则结合规则引擎来拦截客户端请求时，由于规则引擎对客户端 IP 归属的「洲」、「国家 / 地区」、「省份」、「运营商」信息无法做到 100% 准确，很可能存在误识别的情况，因此请谨慎使用。
如果出现客户端 IP 归属信息识别不准确的情况，可以使用白名单规则放行指定的 IP 地址，避免正常的客户端 IP 被 WAF 误拦截。
配置自定义规则
在ESA控制台选择站点管理，在站点列单击目标站点。
在左侧导航栏，选择。
单击自定义规则页签，进入自定义规则页签，单击新增规则。
单击确定。
配置 User-Agent 匹配规则时，若选择不区分大小写匹配模式，则匹配值需全部设置为小写。同时，请根据实际需求确认选择精准匹配（等于）还是模糊匹配（包含），避免因匹配模式选择不当导致规则未生效（例如状态码仍返回 200）。
执行动作说明
拦截：表示拦截命中规则的请求，并向发起请求的客户端返回拦截响应页面。
说明若需要在拦截操作中自定义拦截页面时，请参见自定义页面。
观察：表示不拦截命中规则的请求，只通过日志记录请求命中了规则。您可以通过WAF日志，查询命中当前规则的请求，分析规则的防护效果（例如，是否有误拦截等）。观察模式方便您试运行首次配置的规则，待确认规则没有产生误拦截后，再将规则设置为拦截模式。
说明只有开通日志服务，您才可以使用日志查询功能。
JS挑战：表示ESA向客户端返回一段正常浏览器可以自动执行的JavaScript代码。如果客户端正常执行了JavaScript代码，则ESA在一段时间（默认30分钟）内放行该客户端的所有请求（不需要重复验证），否则拦截请求。
滑块挑战：ESA向客户端返回滑动验证页面。如果客户端成功执行滑动验证，则ESA在 30 分钟（默认）内放行该客户端的所有请求，否则拦截请求。
说明如果结果为通过（即正常用户成功完成滑块挑战），则计入流量。如果结果为拦截，则免计流量。
WAF自定义规则、频次控制规则的JS挑战和滑块验证仅适用于静态页面。如需兼容
XMLHttpRequest、Fetch等异步接口响应，需在Bots中启用JS挑战和滑块验证。启用后，当请求命中规则时，ESA对客户端发起JS挑战或滑块验证，当客户端通过后将会在HTTP报文的Header中分别植入Cookie acw_sc__v2和acw_sc__v3，用于表示客户端已通过验证。
严格滑块挑战：严格滑块验证模式下，客户端的每次请求都需要验证（无滑块挑战的30分钟内放行已通过挑战客户端请求的特性），请按需谨慎开启。且严格滑块挑战仅企业版可申请开通使用。
如需一点即过等更多验证码类型，可使用AI验证码功能，支持一点即过、滑块、旋转等验证方式，在 ESA 控制台单独配置。
配置示例
场景：通过安全分析或事件分析中发现了IP为192.168.0.1的客户端向主机dns.example.com发起了异常请求行为。
配置方式：
参数 | 示例值 |
如果请求匹配以下规则... | 同时满足：
可直接编辑使用表达式： |
则执行… | 拦截并响应默认拦截页面 |
防护效果：符合自定义规则条件的请求将被拦截。
不同套餐的支持情况
功能项 | 免费版 | 基础版 | 标准版 | 高级版 | 企业版 |
自定义规则条数 | 5条 | 10条 | 50条 | 100条 | 100条 |
免费版套餐不支持 Ip.Geoip.Country 等资源类型匹配条件。若在自定义规则中使用该字段，系统将报错 Ip.Geoip.Country.NotSupport，需升级套餐方可使用地理位置相关匹配条件。
常见问题
配置 IP 相关匹配条件时，应该使用哪个字段来防止 IP 伪造？
自定义规则的匹配字段中，客户端IP（ip.src）与X-Forwarded-For（http.x_forwarded_for）是两个语义不同的独立匹配字段：客户端IP 取自与 ESA 建立连接的客户端 IP，不受客户端请求头影响；X-Forwarded-For 是 HTTP 请求头中的字段，可以被客户端任意伪造。因此配置基于 IP 的匹配条件（如地域限制、IP 黑白名单）时，建议优先使用客户端IP 作为匹配字段，避免使用X-Forwarded-For，以防止攻击者通过伪造该请求头绕过拦截规则。
如果您的源站需要获取客户端真实 IP，建议在转换规则的托管转换中开启添加真实客户端 IP 请求头，默认会在回源请求中添加名为 ali-real-client-ip 的请求头（标头名称可自定义），源站侧读取该请求头即可获取真实客户端 IP，而不依赖可能被伪造的 X-Forwarded-For 头。
如果您需要避免客户端提交的 X-Forwarded-For 头传递到源站造成干扰，可以在转换规则中配置修改出站请求头功能，对指定请求头执行新增、删除或修改操作。
为什么配置了地域/国家拦截规则，但非目标地区 IP 仍能访问？
如果规则中除国家/地区匹配条件外，还组合了其他匹配条件（如主机名、URI 等），当这些组合条件与实际请求不完全一致时，整条规则不会被触发，非目标地区的 IP 就可能正常访问。建议检查规则表达式中主机名、URI 等字段的值是否与实际访问的请求特征一致，也可以先通过安全分析或事件分析查看实际流量特征，再据此调整规则逻辑。组合条件的表达式语法可参见请求匹配规则。
为什么基于国家/地区的拦截规则会出现误拦截或无法识别 Unknown 地区？
IP 归属地信息（洲、国家/地区、省份、运营商）无法做到 100% 准确，且 VPN 或代理服务会改变 IP 的归属地显示，导致地理位置拦截失效。
私有 IP 段（如 100.64.0.0/10）及代理 IP 可能被识别为 Unknown 地区，ESA 不支持直接拦截 Unknown 地区。
建议：
在地域限制规则中增加
User-Agent或Referer的组合条件（例如：非指定地域 AND User-Agent 不是特定值），降低单独依赖地域判断带来的误报。出现误拦截时，可配置白名单规则放行正常 IP。
访问出现 403 Forbidden 错误如何排查？
访问返回 403 Forbidden，常见原因包括：命中了 WAF 的自定义规则拦截动作、命中了 IP 黑名单、触发了 Referer 防盗链规则、或触发了地域/国家访问限制等访问控制策略。
排查时，建议先获取完整的 HTTP 响应头信息，响应头中通常会包含命中规则的相关标识，可用于定位具体触发的规则；然后登录 ESA 控制台，在安全防护模块下逐一检查自定义规则的匹配条件与执行动作、IP 访问规则（黑名单）配置，以及缓存资源相关配置，确认是哪条规则或策略导致了本次拦截。
相关文档
规则相关的功能，在生效优先级、可重入性、生效颗粒度上存在差异，详细情况请查看规则相关功能的特性说明。