宝塔WAF因基于规则库的模式匹配机制，将含敏感词（如select、union）或异常结构（如未编码引号、连续斜杠）的正常请求误判为非法参数而拦截；常见场景包括前端JSON未编码、业务字段含SQL关键字、路由参数被误标等；可通过调低安全级别临时验证、添加URL/参数白名单精准放行，或从代码侧规避关键词（如encodeURIComponent、参数映射、HTML编码、重命名base64字段）实现彻底解决。
为什么宝塔 WAF 会把正常请求当成非法参数拦截
宝塔面板默认启用的 WAF（Web Application Firewall）基于规则库匹配 URL、POST 数据、Cookie 等字段，一旦命中敏感词（如 select、union、eval、base64_）或异常结构（如连续斜杠 //、未编码的双引号 "），就会直接返回“您的请求带有不合法参数”——它不区分是否真有恶意，只做模式匹配。
常见触发场景包括：
- 前端使用
JSON.stringify后未encodeURIComponent就发请求，导致 URL 出现{、}或引号 - API 接口接收含 SQL 关键字的业务字段（比如商品名含
"user_info"） - Vue/React 路由带查询参数如
?id=1&sort=desc，而 WAF 规则误判desc为 SQL 注入关键词 - 上传文件时表单字段名含
file或upload，被旧版规则误标
临时绕过：快速调低 WAF 安全级别（仅限测试环境）
这不是修复，只是验证是否为 WAF 误拦。登录宝塔 → 网站 → 对应站点 → 防火墙 → 安全级别选“低”或“关闭”。注意：安全级别 下拉菜单里，“低”仍会拦截明显攻击，“关闭”才完全放行。
但必须清楚：
- 生产环境禁用此操作，等同于撤掉大门
- 改完要点击右上角
保存，否则不生效 - 部分版本需同时重启
nginx或apache服务（在软件商店里点对应服务的“重启”）
精准修复：添加白名单规则或自定义放行条件
比调低全局级别更安全的做法，是让 WAF 对特定路径或参数“睁一只眼”。进入站点防火墙 → “URL 白名单” → 添加类似以下规则：
/api/v1/submit /login /wp-json/*
如果问题出在某个参数（比如 content 字段总含 HTML 标签），可进“GET/POST 放行”页，填：
-
参数名填content -
放行类型选POST（或GET） -
放行值留空（表示该参数所有值都放行）或填正则如^<.*>.*</.*>$（谨慎写）
注意：放行值 若填正则，必须以 ^ 开头、$ 结尾，且不能含换行；错误正则会导致整条规则失效。
彻底规避：从代码侧避免触发 WAF 关键词
最可靠的方式不是和 WAF 较劲，而是让请求“看起来无害”。例如：
- 前端发送 JSON 数据时，先
encodeURIComponent(JSON.stringify(obj))，后端再urldecode+json_decode - 避免在 GET 参数中传递原始 SQL 片段，改用映射 ID：
?type=1（1→"order_by_desc"）而非?sort=ORDER BY id DESC - 后端接收富文本内容，提前对
<、>、"做 HTML 实体编码，再存入数据库 - 若用
base64_encode传数据，WAF 默认会拦截含base64_的参数名——改名为data_b64或payload
WAF 规则更新频繁，今天放行的写法，明天升级后可能又被拦。真正稳定的方案，永远是让参数本身不带任何会被模式匹配的特征。
