文档中心

Web应用防火墙

日志管理（新）

日志字段说明

WAF 日志字段包括必选字段和可选字段，必选字段是指 WAF 日志中默认包含的字段，可选字段是指根据您的设置决定是否在日志中包含的字段，以下为对应字段的说明和示例。

必选字段

必选字段指 WAF 日志中必定会包含的字段，这些字段无需额外配置，会默认被记录在日志中。

字段	说明	示例值
ActionType	处置动作，包括： Pass：放行 Permit：例外 Observe：观察 Block：拦截 HumanVerify：人机验证 HumanVerifyBlock：人机验证-拦截 JS：JS 挑战 JSBlock：JS 挑战-拦截 Pow：工作量证明 PowBlock：工作量证明-拦截 Drop：丢弃 AnswerOpt：答案优化	Pass
APIID	API 资产 ID。	I957277495165
APIName	API 资产名称。	apitest
APIStatus	API 的状态，包括： pending：待发现 discovering：发现中 discovered：已发现 managed：已纳管 ignored：已忽略 discarded：已废弃	managed
AttackType	攻击类型，包括： black：禁止访问名单 geo_black：地理位置封禁 httpflood：CC 攻击 web_vulnerability：Web 漏洞攻击 bot：bot 自定义规则 bot_frequency：Bot 频率限制 bot_repeat：Bot 统计防护 bot_dytoken：Bot 动态令牌 bot_sequence：Bot 行为地图 route_abnormal：API 路由异常 param_abnormal：API 参数异常 api_discarded：API 废弃资产 api_sensitive：API 敏感信息 sensitive_info：敏感信息泄露	black
ClientIP	客户端 IP 地址。	27.115..
ClientPort	客户端发起访问的端口。	80
ContentType	被请求的内容类型。	application/x-www-form-urlencoded
EventLevel	攻击事件等级，包括： 0：低危 1：中危 2：高危	1
HitInfo	命中防护策略类型后的二级规则类型。	ua_bot_web_scraper
HitField	命中规则的统计对象类型及对应键值，格式为<统计对象>: <键值>，如： COOKIE: uid HEADER: User-Agent AGRGS: Param1 CLIENTIP（直接以客户端 IP 为统计对象，不涉及键值）	CLIENTIP
Host	客户端请求头部的 Host 字段，表示客户端实际访问的域名。	a.test.com
MatchedHost	匹配的 WAF 接入域名，例如接入域名为.test.com，而实际访问域名是a.test.com，此字段记录.test.com。	*.test.com
MatchedInfo	规则匹配命中的字段值，例如敏感信息（身份证号或手机号等），漏洞规则的对应字符串。	[{"VarName":"RequestHeaders","Key":"X-Forwarded-For","Val":"sVyiy8bP' OR 252=(SELECT 252 FROM PG_SLEEP(15))--"}]
Method	客户端请求的请求方法。	GET
Path	被请求的相对路径，指被请求 URL 中域名后面且问号(?)前面的部分，不包含查询字符串。	/news/search.php
Plugin	防护策略类型。 acl：访问管控 dlp：防敏感信息泄露 api_policy：API防护 bot_policy：Bot管理 cc_policy：cc防护 web_policy：漏洞防护	acl
PolicyID	防护规则 ID。	F000000000001
QueryArgs	客户端请求中的查询字符串，具体指被请求 URL 中问号(?)后面的部分。	title=tm_content%3Darticle&pid=123
RequestBodyType	请求 Body 类型，例如：application/x-www-form-urlencoded、application/json 等。	application/json
ResponseBodyType	响应 Body 类型，例如：application/json、application/xml 等。	application/json
Referer	客户端请求头部的 Referer 字段，表示请求的来源 URL 信息。如果请求无来源 URL 信息，则该字段显示为空。	http://example.com
Scheme	请求协议，包括 HTTP 和 HTTPS。	HTTP
ServerProtocol	源站服务器响应 WAF 回源请求的协议及版本号。	HTTP/1.1
SensitiveTags	敏感信息标签。	测试
Status	WAF 响应客户端请求的 HTTP 状态码，包括： 200：请求成功 4XX：请求失败	200
Time	客户端请求的发起时间。使用UTC+8时区表示，格式为yyyy-MM-dd HH:mm:ss。	2025-07-01 13:58:25
TraceID	WAF 为客户端请求生成的唯一标识。	7837b11715********************
UpStreamAddr	源站服务器的 IP 地址和端口。格式为IP:Port。多个记录间使用半角逗号（,）分隔。	192.168.0.0:55556
UpStreamResponseTime	源站服务器响应 WAF 回源请求的时间。	0.002
UpStreamStatus	源站服务器响应 WAF 回源请求的 HTTP 状态码，包括您自定义设置的状态码。	200
UserAgent	客户端请求头部的 User-Agent 字段，包含请求来源的客户端浏览器标识、操作系统标识等信息。	Dalvik/2.1.0 (Linux; U; Android 7.0; EDI-AL10 Build/HUAWEIEDISON-AL10)
VerificationStatus	执行动作（包括 JS 挑战、工作量证明、人机验证）验证通过情况。 trigger：触发验证 timeout：超时后触发 ok：验证成功 pass：验证放行 failed：验证失败 block：失败后拦截 skip：失败后观察	pass
XForwardedFor	客户端请求头部的 X-Forwarded-For(XFF) 字段，用于识别通过 HTTP 代理或负载均衡方式连接到 Web 服务器的客户端最原始的 IP 地址。	192.1..
JA3	客户端发起 HTTPS 请求时，TLS 协议握手阶段 “Client Hello” 报文的核心特征组合字符串。 JA3 是用于识别客户端 TLS 配置指纹的基础标识，可精准区分不同客户端（如正常浏览器、恶意爬虫、攻击工具等）的 TLS 协议行为差异，辅助减少仅依赖 IP 地址识别带来的误判问题。	771,4865-4866-4867-**-156-157-47-53,0-23--10-11-35-16-5-13-18-51-45-43-27-,29-**-24,0
JA3Hash	对 JA3 字段的特征组合字符串进行 MD5 哈希计算后，得到的 32 位十六进制字符串。 JA3Hash 是 JA3 指纹的简化标识，用于降低日志存储开销、提升恶意指纹匹配效率，与 JA3 字段一一对应，具备相同的客户端 TLS 指纹识别能力。	18ad6e1a77c00d96229ccb62****
IPThreatIntelType	攻击源 IP 对应的威胁情报类型，标识该 IP 的恶意行为类别。目前情报类型包括：VPN、CDN IP、僵尸网络。	VPN
IPThreatIntelConfidence	攻击源 IP 威胁情报的置信度，以百分比的格式表示，反映威胁判断的可靠程度，取值越高，可靠性越强。	80%
IPThreatIntelUpdateTime	攻击源 IP 对应的威胁情报最近一次更新的时间，反映情报的时效性，辅助判断威胁情报的参考价值。	2025-12-30
TLSCipher	客户端请求使用的加密套件。	TLS_AES_256_GCM_SHA384
TLSVersion	客户端请求使用的 SSL、TLS 协议以及版本。	TLSv1.3
SessionID	会话 ID，用于标识不同的用户会话，在开始 Bot 会话防护且集成 WebSDK 后用于跟踪和管理用户会话状态。	u1_b95fA1....K7N3Q
Fingerprint	当前发起请求的浏览器指纹，用于标识当前请求的浏览器特征信息，可辅助判断请求的来源和唯一性。	95a7c3e8f1d4
TokenSequence	会话送检的次数，该字段用于统计会话在送检过程中的传输次数，且此统计不包含静态资源的检测情况。	8
IntegrityFlags	该会话中，当前请求命中的会话防护规则标签，可参考会话防护托管规则说明，了解标签对应的规则信息。	L2_ACCEPT_ENCODING_DRIFT
IntegrityFlagsInHistory	该会话中，历史请求命中的会话防护规则标签，WAF 会根据这些历史标签进行综合分析，并基于动作优先级和实际配置来决定最终处置动作。这些历史标签会在 24 小时内未触发新标签的情况下被清空，以确保规则分析的时效性和准确性。	L2_ACCEPT_ENCODING_DRIFT,L1_MINOR_GEO_DRIFT

可选字段

可选字段是指您可以自定义配置是否需要采集的字段。

说明

启用更多字段会占用更多日志存储容量，请您结合业务需要和日志容量选择是否需要开启。

预置可选字段

您可以在日志管理>日志设置>字段采集范围>可选字段，配置需要的可选字段。操作详情请参见设置日志参数。以下是对应参数的说明和示例。

字段	说明	示例值
Cookie	客户端请求头部的 Cookie 字段，表示访问来源客户端的 Cookie 信息。	k1=v1; k2=v2
RequestBody	请求 body 内容。	{"username": "alice", "password": "123456"}
ResponseBody	响应 body 内容。当 Content-Encoding 类型为 gzip 或者 deflate 时，WAF 日志将会以 Base64 编码格式返回响应 Body 内容，其余 Content-Encoding 类型将以原文内容返回。说明过长的压缩内容被截断后可能无法被正常还原。	Base64 编码返回： H4sIAAAAAAAAA6tWKkktLlGyUlAy1lFKrShQKkosSFWyUvJSSkxJ5QIAEA98cxEAAAA= 原文返回 {"status": "success", "token": "abc123xyz", "expires_in": 3600}
RuleDescription	命中规则对应的描述。说明该字段当前仅针对访问控制黑名单规则生效，其他规则条件下，该字段值为空。	用于限定对应 IP 的访问。
RuleName	命中规则对应的名称。说明该字段当前仅针对访问控制黑名单规则生效，其他规则条件下，该字段值为空。	rule1

自定义 Header 字段

将防护网站接入 WAF 时，您可以选择是否记录全量 header 字段。

注意

WAF 为保障服务运维，预留了一批内置的 header 字段。为避免发生字段冲突或日志采集失败，请您在自定义 header 时，避免使用以下字段前缀：tcpinfo-、ssl-、x-waf-、x-alb-、x-clb-、x-tlb-、x-cdn-、x-ark-、x-tt-、x-ssl-、x-ss-。如果您的自定义 header 使用了这些前缀，可能导致相关日志信息无法被正常记录。

关闭记录全量 Header：WAF 日志仅记录常见 header 字段，包括Host、XForwardedFor、Referer、UserAgent。如果您在日志设置的可选字段中启用了Cookie，则 WAF 也会同步采集 Cookie 字段。

开启记录全量 Header：WAF 会记录以上常见 header 和其他自定义 header 信息，其中自定义 header 信息将被记录于 Headers 字段中，例如Headers.Accept-Language、Headers.Accept-Encoding、Headers.Content-Length等。

最近更新时间：2026.06.10 17:25:16

这个页面对您有帮助吗？

有用

无用