当基于iOS、Android或Harmony原生开发的App（不含App内嵌H5页面）面临恶意爬虫、自动化脚本攻击、接口滥用等威胁时，可以创建Bot-App防护模板，自定义防护规则，防御App爬虫，确保业务安全。
操作步骤
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。在左侧导航栏，选择，在App防护页签，单击新建模板。
步骤一：定义基本信息
填写一个便于识别的模板名称与模板介绍。
步骤二：配置防护场景
选择模版模式，支持智能打分模式与自定义模式模式。
智能打分模式仅在新版 Agentic Bot 中支持。若控制台中未找到该内容，说明当前使用的是旧版 Bot 管理；如需使用，请升级至 Agentic Bot，升级方式请参见【公告】Web应用防火墙Bot管理模块升级通知。
智能打分模式：规则命中后，系统基于内置规则自动打分，并执行设定的拦截、验证或观察等处置动作，适用于快速配置场景。
自定义模式：系统基于阿里云经验沉淀的常见 Bot 特征库，将规则按类型划分，需逐条配置各规则的处置动作，适用于精细化管控场景。
智能打分模式
根据业务形态选择防护场景；若无法确定，建议选择通用防护。
选择防护目标特征，支持全局生效与定制匹配条件两种类型。
全局生效：适用于仅存在网页或H5环境的场景，对防护对象下的所有流量生效。
定制匹配条件：适用于需根据流量特征区分网页或H5流量的场景，例如网页与API、App、小程序共用同一接口但仅需防护网页流量，或需对秒杀、登录等特定业务接口进行精细化防护的场景。
全局生效
配置防护目标为全局生效，无需输入流量特征。
定制匹配条件
配置防护目标为定制匹配条件，依据输入特征进行匹配。通过单击新增条件添加一个条件。每个条件由匹配字段、逻辑符和匹配内容组成。配置示例如下：
说明若规则包含多个条件，则请求必须满足所有条件（逻辑与关系），才能命中该规则。关于匹配字段和逻辑符的详细说明，请参见匹配条件说明。
匹配字段
逻辑符
匹配内容
说明
URI Path
包含
/login.php当请求的路径包含
/login.php时，则请求命中该规则。IP
属于
192.1.XX.XX当客户端IP为
192.1.XX.XX时，则请求命中该规则。
勾选是否排除静态文件，静态文件请求通常不涉及业务逻辑，且其内容本身不易被用于注入攻击，排除静态文件可减少检测负载，使WAF专注于保护动态接口。建议选择默认的静态文件类型，也可自定义添加类型。
在二次打包区域，可单击新建配置规则。旨在防止攻击者对您的 App 进行反编译，植入恶意代码、广告，并重新签名打包为盗版 App 向您的服务器发起请求。
在指定合法包名与包签名区域进行填写，作为App 的唯一标识。可单击新增合法版本配置多个版本，最多添加5个条件；条件之间为“或”关系。
规则分类：支持设置为恶意BOT与疑似BOT。
处置动作：具体信息，请参见处置动作说明。
规则灰度与生效模式：具体信息，请参见规则灰度与生效模式说明。
在签名异常检测区域，可编辑如下规则。该功能用于验证移动端 App 请求的合法性与完整性，防止请求被篡改、伪造，或由非授权客户端发起恶意访问。此功能默认开启，建议保持开启状态。
自定义加签字段：启用后需配置字段名与字段值，系统将对指定字段进行签名校验。
签名过期：勾选以启用签名的时效性验证。
处置动作：支持观察、拦截与严格滑块，具体信息，请参见处置动作说明。
规则灰度与生效模式：具体信息，请参见规则灰度与生效模式说明。
在搜索引擎爬虫区域，可编辑如下针对搜索引擎的放行规则。该功能默认开启，建议保持开启状态。
按需选择放行的搜索引擎爬虫。
按需配置规则灰度与生效模式，具体信息，请参见规则灰度与生效模式说明。
在Bot 打分区间设置区域，支持通过拖动分界球，设置各分数区间及其对应的处置动作。各区间需配置以下内容：
处置动作：建议分数区间由低至高依次采用逐步严格的处置动作，例如观察、滑块、拦截，具体信息，请参见处置动作说明。
规则灰度与生效模式：具体信息，请参见规则灰度与生效模式说明。
自定义模式
选择防护目标特征，支持全局生效与定制匹配条件两种类型。
全局生效：适用于仅存在网页或H5环境的场景，对防护对象下的所有流量生效。
定制匹配条件：适用于需根据流量特征区分网页或H5流量的场景，例如网页与API、App、小程序共用同一接口但仅需防护网页流量，或需对秒杀、登录等特定业务接口进行精细化防护的场景。
全局生效
配置防护目标为全局生效，无需输入流量特征。
定制匹配条件
配置防护目标为定制匹配条件，依据输入特征进行匹配。通过单击新增条件添加一个条件。每个条件由匹配字段、逻辑符和匹配内容组成。配置示例如下：
说明若规则包含多个条件，则请求必须满足所有条件（逻辑与关系），才能命中该规则。关于匹配字段和逻辑符的详细说明，请参见匹配条件说明。
匹配字段
逻辑符
匹配内容
说明
URI Path
包含
/login.php当请求的路径包含
/login.php时，则请求命中该规则。IP
属于
192.1.XX.XX当客户端IP为
192.1.XX.XX时，则请求命中该规则。
勾选是否排除静态文件，静态文件请求通常不涉及业务逻辑，且其内容本身不易被用于注入攻击，排除静态文件可减少检测负载，使WAF专注于保护动态接口。建议选择默认的静态文件类型，也可自定义添加类型。
在二次打包区域，可单击新建配置规则。旨在防止攻击者对您的 App 进行反编译，植入恶意代码、广告，并重新签名打包为盗版 App 向您的服务器发起请求。
在指定合法包名与包签名区域进行填写，作为App 的唯一标识。可单击新增合法版本配置多个版本，最多添加5个条件；条件之间为“或”关系。
规则分类：支持设置为恶意BOT与疑似BOT。
处置动作：具体信息，请参见处置动作说明。
规则灰度与生效模式：具体信息，请参见规则灰度与生效模式说明。
在风险识别区域，可以单击新建，创建风险识别规则。基于WAF内建的手机号信誉数据库，实现针对黄牛等异常手机号的访问阻断，适用于手机号登录注册类场景。
重要风险识别属于收费功能。具体计费规则如下：
计费条件：仅在完成规则配置且实际流量命中时产生费用，其他情况不计费。
计费单价：0.05元/次。
结算方式：采用后付费模式，按天生成账单。
账号提取：单击新增账号配置账号类型和账号位置。最多添加五个条件，条件之间为或关系。
配置示例：若登录请求采用 GET 方法，且请求参数格式为
username=158***&password=***，请按以下方式进行配置：账号位置：选择 Query参数。
参数名称：填写 username。
配置完成后，WAF 即可准确提取该请求中的手机号信息，用于后续的安全匹配与检测。
风险标签：单击新增标签进行配置，最多添加五个条件，条件之间为或关系。
疑似小号：疑似第三方平台提供手机号，非个人用户。
诈骗风险：疑似历史上存在欺诈行为。
垃圾注册：疑似使用非法工具进行用户注册，用于后续的营销活动等。
营销作弊：疑似使用非法工具参与营销活动，如批量注册领取优惠券等。
黄牛账号：疑似使用非法工具参与抢票或其他秒杀类活动。
风险等级默认均为高风险，支持配置高风险、中高风险、中风险，可根据业务需求自由选择。
处置动作：具体信息，请参见处置动作说明。
规则灰度与生效模式：具体信息，请参见规则灰度与生效模式说明。
在策略配置区域，系统基于阿里云经验沉淀的常见 Bot 特征库，将规则按类型划分。针对目标规则，可以执行以下操作：
启用/禁用：单击状态列的
图标，开启或关闭规则。修改规则：单击编辑按钮，对规则进行自定义调整。设置处置动作、规则灰度与生效模式，具体信息，请参见处置动作说明与规则灰度与生效模式说明。
修改分类：对于恶意BOT与疑似BOT规则，若实际分类不符合业务需求，可以在Bot类型列中对其分类进行修改。
步骤三：选择生效范围
在生效对象区域，选中需要应用的防护对象或防护对象组，单击
图标，将该防护对象或防护对象组移入已选择区域内，单击确定。
步骤四：App SDK集成
Bot 防护能力高度依赖 SDK 采集的数据，若未集成 SDK，将无法获得完整的防护效果。针对 Native App 场景，WAF 提供专属的 App 防护 SDK 以提升安全防护能力。
集成该 SDK 后，系统将自动采集客户端的风险特征并生成安全签名，将其附加至业务请求中。WAF 随后会根据该签名特征，对请求风险进行精准识别与拦截。
请根据移动操作系统，参考SDK集成指南，集成App SDK。
日常运维
编辑模板
单击目标模板操作列的编辑，在编辑模板面板中对模板进行编辑。
删除模板
单击目标模板操作列的删除，在删除对话框中确认删除信息后单击确认。
复制模板
单击目标模板操作列的复制，在复制对话框中确认复制信息后单击确认。
开启或关闭模板
新建的模板默认开启，单击目标模板模板开关列的
开关，可开启或关闭该模板。查看规则
单击目标模板的
图标，查看该模板的规则信息，单击目标规则状态列的开关，可开启或关闭对应规则。针对已启用的规则，可查看其命中趋势。若规则动作类型为JS验证、滑块或严格滑块，还可查看人机校验通过率。
处置动作说明
配置项 | 说明 |
观察 | 不拦截命中规则的请求，仅通过日志记录请求命中的情况。在试运行规则时，可以先通过观察模式分析WAF日志，以确认未产生误拦截，再将其调整为其他规则动作。 |
滑块 | WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则WAF在一段时间（默认30分钟）内放行该客户端的所有请求，否则拦截请求。 说明 WAF默认使用统一的滑块响应页面，也可以通过自定义响应功能，自定义滑块响应页面。 |
严格滑块 | WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则放行该请求；否则拦截请求。在此模式下，客户端每次命中该规则的请求均需进行滑动验证。 |
拦截 | 拦截命中规则的请求，并向发起请求的客户端返回拦截响应页面。 说明 WAF默认使用统一的拦截响应页面，也可以通过自定义响应功能，自定义拦截响应页面。 |
回源标记 | 表示客户可以自定义Header名称及内容（规则类型、规则ID、App 端UMID），WAF不会直接处理，而是会通过新增Header的方式将命中信息返回给源站，客户可以与后端风控系统结合做业务侧处理。 |
启用JS验证或滑块后，客户端通过验证时，WAF将在响应头中通过Set-Cookie 设置名为acw_sc__v2（JS验证）或 acw_sc__v3（滑块验证）的 Cookie。客户端在后续请求中会在 Cookie 头中携带该标识。
规则灰度与生效模式说明
在规则灰度区域，配置规则针对不同维度的对象的生效比例。开启规则灰度后，还需要设置维度和灰度比例。维度包括：IP、自定义Header、自定义参数、自定义Cookie、Session、APP端UMID。
说明规则灰度根据配置的维度生效，而非对请求按比例随机生效规则。例如，当维度为IP且灰度比例为10%时，WAF将选择约10%的IP地址；被选中的IP地址，其所有请求均应用该规则，而非对所有请求按10%的比例随机应用。
在生效模式区域，选择规则的生效时间。
永久生效（默认）：防护模板开启时，规则永久生效。
按时间段生效：防护规则仅在指定的一段时间内生效。
按周期生效：防护规则仅在指定的时间周期内生效。