# 宝塔企业版/专业版「网站防火墙 WAF」怎么配置 CC 防护与防注入？

> 在宝塔企业版/专业版「软件商店」安装网站防火墙后，先将站点后台路径与支付回调接口加入 URL 白名单，再按站点开启 CC 防护与 GET/POST 过滤，最后通过拦截日志核查规则命中情况，兼顾安全拦截与业务稳定。

- 分类: 功能插件
- 发布: 2026-10-15
- 更新: 2026-10-24
- 原文: https://pay.baota.in/article/bt-waf-firewall-cc-defense-guide

## 宝塔网站防火墙（WAF）能解决什么问题？

当网站频繁出现 CPU 飙升到 100%、带宽被打满、数据库连接数耗尽，或者访问日志里充斥着大量扫描 `.env`、`wp-login.php`、`admin.php` 的异常请求时，单靠服务器自带的端口防火墙已经无济于事。**宝塔专业版与企业版内置的网站防火墙（Nginx/Apache WAF）**工作在 HTTP 应用层，能在恶意请求到达 PHP 和 MySQL 之前直接阻断。

## 第一步：在宝塔企业版/专业版中安装并开启 WAF

1. 确保面板已激活企业版或专业版授权（Linux v13.1.0 / Windows v8.5.2 / aaPanel PRO v8.0.7）。若刚完成授权绑定但面板尚未刷新标识，可在 Linux 终端执行无损升级命令同步插件状态：

```bash
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &
```

2. 进入面板左侧「软件商店 → 专业版插件 / 企业版插件」，找到 **Nginx 网站防火墙**（或 Apache 网站防火墙）点击安装。
3. 打开防火墙主界面，开启全局防护开关，并在「站点配置」中为目标网站开启防护。

## 第二步：配置 CC 防护模式与安全阈值

- **常规访问期**：建议使用「普通模式」或默认频率阈值（如 60 秒内同一 IP 请求超过设定次数则封锁），既能拦截高频采集器与扫描器，又不会干扰正常访客与搜索引擎蜘蛛。
- **遭遇流量型 CC 攻击期间**：可临时切换为「增强模式」或开启浏览器人机验证（JS 跳转验证 / 滑动验证），迅速清洗伪造 User-Agent 的肉鸡流量。
- **禁止海外访问（按需）**：若业务仅面向国内用户，可在防火墙中一键开启“禁止海外访问”，大幅减少境外扫描器骚扰。

## 第三步：添加白名单避免误拦支付回调与 API

启用严格规则前，务必在「全局配置 → URL 白名单」中放行以下关键业务路径：

- 支付宝、微信支付等第三方异步通知回调地址（如 `/pay/notify`）
- 小程序或 App 的高频 POST 接口路径
- 管理员固定的办公公网 IP

配置完成后，随时通过「拦截日志」查看命中原因，实现精准防护。更多插件介绍可参考[企业版插件全景盘点](/article/bt-enterprise-pro-plugins-overview)。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/

## 常见问题

### 开启宝塔网站防火墙后，网站后台保存文章提示被拦截怎么办？

富文本编辑器提交的 HTML 代码有时会触发 XSS 规则。打开防火墙「拦截日志」查看具体触发的规则名称，将后台路径加入 URL 白名单或针对该路径关闭 XSS 过滤即可。

### 宝塔 WAF 会把百度蜘蛛或 Google 爬虫封掉吗？

宝塔网站防火墙内置了主流搜索引擎蜘蛛白名单识别机制，正常抓取不会触发封锁；切勿随意在 IP 黑名单中手动封禁搜索引擎网段。