近年来，由于web应用攻击方法的不断曝光和web应用重要性不断提高，对web信息系统的攻击事件数量大增。如何设置Web应用攻击防护？当网站接入Web应用防火枪之后，这时Web应用攻击防护功能会默认开启。Web应用攻击防护要基于内置的规则集，自动为网站防御SQL注入、XSS跨站、WEBSHEII上传、命令注入、后门隔离、非法文件请求、路径穿越、常见的应用漏洞攻击等通用的WEB攻击。或者可以根据实际所需调整WEB应用攻击防护的防护模式和策略。
首先，针对Web的攻击可以分为这两种模式：
主动攻击，即攻击者通过Web应用直接将攻击代码传入，例如SQL注入、OS命令注入
被动攻击，即攻击者利用陷阱的方式执行攻击代码，例如XSS、CSRF
前提条件
已完成网站接入。
操作步骤
登录Web应用防火墙控制台。
在页面上方选择Web应用防火墙实例的地域（中国内地、海外地区）。
在左侧导航栏，单击管理>网站配置。
选择要操作的域名，单击其操作列下的防护配置。
定位到Web应用攻击防护配置区域，完成以下功能配置。
状态：开启或关闭Web应用攻击防护功能。
模式：检测发现攻击请求时，对攻击请求执行的操作。可选值：
防护：发现攻击后直接阻断。
预警：发现攻击后只告警，不阻断。
防护规则策略
要应用的检测策略，可选值：
中等规则：标准检测常见Web应用攻击，默认应用。
严格规则：严格检测路径穿越、SQL注入、命令执行等Web应用攻击。
宽松规则：宽松检测常见Web应用攻击。当您发现中等规则下存在较多误拦截，或者业务存在较多不可控的用户输入（例如富文本编辑器、技术论坛等），建议您选择该模式。
解码设置：设置需要Web应用攻击防护解码分析的内容格式。
为保证防护效果，Web应用攻击防护默认对请求中所有格式类型的内容进行解码分析。如果您发现Web应用攻击防护经常对业务中包含指定格式内容的请求造成误拦截，您可以取消解码对应格式，针对性地降低误杀率。
操作步骤
展开配置菜单。
勾选或取消勾选要解码的格式。
不支持取消的格式：URL解码、javascriptunicode解码、hex解码、注释处理、空格压缩。
支持取消的格式：multipart解析、json解析、xml解析、php序列化解码、html实体解码、utf-7解码、base64解码、form解析。
执行结果
Web应用攻击防护的功能配置调整后自动生效。
WEB应用攻击是攻击者通过浏览器或攻击工具，在网页地址或其他输入区域(比如表单等)，向WEB服务器发送特殊请求，从中发现WEB应用程序的可能漏洞，从而进一步操纵网站，查看，修改未授权的信息。阿里云服务器 
