服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 本次变化涉及 SSRF - Cloud - 3（...ca453d31）、Version Control - Information Disclosure - Beta（...e540f17f）和 Command Injection - Generic 10（...ba458b4b）。
- 三条规则的默认动作都从 Log 变为 Block；其中版本控制 beta 规则并入原规则 ...0550c529，不能把 beta 尾段当成长期唯一标识。
- Cloudflare 只公开了规则 ID 尾段，没有公布精确发布时间、滚动范围、客户计划覆盖率或误报率；实际 zone 动作还可能受部署和 override 影响。
- 先在 Security Events 按 Block、主机、路径和规则核对新事件，并保存时间、Ray ID、规则名、动作与应用日志；一次 403 不能证明就是这次规则变更。
- 确认合法请求被目标规则拦截后，优先使用匹配具体请求条件与具体规则的限时 exception，不要停用整个 Cloudflare Managed Ruleset。
- PRODUCT_FIT=CONDITIONAL_NETWORK_ONLY：固定 IP 不能改变 WAF 规则或解除 Block；只有控制台/API 出现独立 DNS、TLS、407 或连接超时证据时才进入网络排查。
先确认三条规则究竟改了什么
Cloudflare 的 2026 年 9 月 15 日 WAF Release 表明，Cloudflare Managed Ruleset 中三条检测的 Previous Action 为 Log、New Action 为 Block：SSRF - Cloud - 3 的公开 ID 尾段是 ...ca453d31，Command Injection - Generic 10 是 ...ba458b4b，两者都标为 new detection。
第三条 Version Control - Information Disclosure - Beta 的公开尾段是 ...e540f17f。Cloudflare 说明它已并入原始 Version Control - Information Disclosure 规则 ...0550c529。官方页面只给尾段；在控制台、API 或日志里应按完整规则 ID、规则名和 ruleset 一起核对，不能自行补全 UUID。
默认改为 Block，不等于每个 zone 已按同一动作运行
发布页确认的是 Cloudflare 管理的默认动作变化。实际请求是否被拦截，还取决于目标 zone 是否部署 Cloudflare Managed Ruleset、部署范围、当前 ruleset 版本，以及规则级、标签级或整个 ruleset 的 override。看不到目标规则或动作时，应把当前覆盖记为 UNKNOWN，而不是直接宣称站点已经获得新保护。
变更前后都应导出或记录 zone、ruleset、完整规则 ID、规则名、默认动作、有效 override 与变更时间。Cloudflare 文档说明更具体的规则级配置优先于较宽的规则集配置；标签级 override 还可能影响同标签下未来加入的规则，因此不适合为了单个误拦截仓促使用。
从 Security Events 定位新 Block，而不是只看浏览器 403
在 Cloudflare Security Events 中选择覆盖变更前后的时间段，先查看 Action=Block，再按 Host、Path、Source、服务或规则缩小范围。Cloudflare 说明该页面展示被安全产品处理或标记的事件，同一 HTTP 请求可能产生多个事件；事件数量不能直接当作独立请求数。
为每个疑似相关样本保存 UTC 时间、Ray ID、hostname、path、HTTP 方法、规则完整 ID、规则名、action、应用版本与对应源站日志。不同套餐提供的采样、历史保留和导出能力不同；只有 sampled logs 时应明确样本边界，不能据此推算全部流量或误报率。
把恶意命中、合法误拦截和无关故障分开
若事件与云元数据地址、命令注入特征或版本控制历史路径相关，先按安全事件处理：保存请求和源站证据，检查是否到达源站、是否存在异常进程或文件访问，并按既有响应流程隔离风险。Block 只证明边缘执行了动作，不证明攻击已成功，也不证明其他路径没有绕过。
若同一条正常业务请求在变更前成功、变更后稳定命中目标规则，并能用 Ray ID 与应用日志对应，才有误拦截依据。没有目标规则命中时，继续区分源站 403、身份权限、Bot 管理、Rate Limiting、DNS、TLS 与代理错误，不要把所有 403 归因于本次 WAF 发布。
确认为误拦截后，只设置最窄、限时例外
Cloudflare 的 exception 使用 Skip 动作，并用表达式定义跳过条件和具体规则。优先把条件限制到已验证的 hostname、path、method、可信调用方属性与目标规则；记录 owner、批准人、开始和到期时间、样本 Ray ID 及补偿控制。不要为了一个合法请求停用整个 Managed Ruleset，也不要建立会自动覆盖未来规则的宽标签 override。
例外的 account/zone 作用域和执行顺序必须与实际部署层级一致：zone 级例外不能阻止 account 级规则先命中。若无法写出足够窄的条件，或请求本身仍有攻击嫌疑，应暂停受影响功能并升级给安全 owner，而不是扩大绕过范围。
验证、撤销与停止条件要同时定义
在隔离环境或最小生产流量上验证三类结果：恶意或批准的无害检测样本仍被阻止；正常主路径恢复；非目标主机和路径没有被意外跳过。不要向生产发送可执行攻击 payload。复测时保留规则 ID、action、Ray ID、源站结果和 exception 版本。
应用修正或 Cloudflare 规则更新后，先撤销临时 exception，再复测正常请求与目标检测。若 Block 数异常上升、出现敏感路径探测、源站有可疑执行、无法将事件与应用请求对应，或例外范围不能被证明足够窄，就停止常规放量并交给安全团队处理。
网络出口只负责连接层，不负责 WAF 放行
固定出口不会更改 Cloudflare Managed Ruleset、默认动作、override 或 exception，也不能让被 WAF Block 的业务请求自动通过。为了绕过规则而轮换 IP 还会破坏证据关联，并可能扩大安全风险。
只有访问 Cloudflare 控制台或 API 时出现 DNS 解析失败、TCP 超时、TLS 证书错误、代理 407 或稳定路径分叉，才参考<a href="/resources/proxy-connection-troubleshooting-checklist">代理连接系统排查清单</a>。已经由 Security Events 证明的规则命中，应回到 WAF 配置、应用输入和安全响应。
资料来源
常见问题
哪三条 Cloudflare WAF 规则从 Log 改成了 Block？
SSRF - Cloud - 3（...ca453d31）、Version Control - Information Disclosure - Beta（...e540f17f）和 Command Injection - Generic 10（...ba458b4b）。官方只公开了 ID 尾段，实际核对应使用控制台或 API 中的完整 ID。
为什么看不到这三条规则带来的 Block？
可能是目标 zone 没有部署对应 Managed Ruleset、请求没有命中、版本尚未显示，或现有 override 改变了默认动作。应核对 zone、ruleset 版本、完整规则 ID 和有效配置，未知时不要宣称已经覆盖。
浏览器出现 403 就说明命中了这次 WAF 更新吗？
不是。应在 Security Events 中用时间、Ray ID、主机、路径、规则 ID 和 action 对应请求；源站权限、Bot 管理、Rate Limiting 与其他安全规则也可能返回 403。
发现误拦截可以直接关闭 Cloudflare Managed Ruleset 吗？
不应直接关闭。先证明合法请求命中了目标规则，再为具体请求条件和具体规则建立最窄、限时 exception，并设置 owner、到期时间、补偿控制和撤销验证。
Version Control beta 规则还应该作为长期配置目标吗？
不建议。Cloudflare 说明 ...e540f17f 已并入原始 Version Control - Information Disclosure 规则 ...0550c529；应同时按规则名、完整 ID 与当前 ruleset 核对，不把 beta 尾段写死为唯一长期标识。
更换代理或固定 IP 能解决 WAF Block 吗？
不能。WAF Block 是安全规则动作；只有控制台或 API 访问出现独立 DNS、TCP、TLS 或 407 证据时，网络出口才属于排查范围。