我们的 WAF 与 OWASP 基线，说明白

安全不该是上线之后才启动的项目。在每个 Clonext 实例上，托管的 Web 应用防火墙与一条对齐 OWASP 的基线从首次部署起就已开启——以下是它的具体内容。

WAF 拦截什么

在边缘，Google Cloud Armor 先于您的应用筛查每一个请求——一套运行在 Google 全球负载均衡器上的托管策略，让您的代码永远不必充当最后一道防线。

• OWASP Top 10 攻击模式——对经典注入与跨站脚本载荷的强制拦截，加上预配置的 OWASP 规则集对每个请求的评估。
• 登录限速，边缘与应用双层——重复的登录尝试在演变成暴力破解之前就被封禁。
• 按路由设计的豁免——支付回调与富文本编辑器照常工作；不会有误拦截。
• 使用 Google 托管证书的 TLS 加 HSTS，在您自己的域名上。

好的基线，就是不用提工单也能得到的安全。

OWASP 是地板，不是天花板

OWASP 标准给了我们一份共同的清单，但清单只是起点。我们把每项控制对应到核心里具体的东西——会话处理、输出转义、依赖策略——并在构建中验证它，而不是指望某个框架替我们做了。

按实例调校

因为每个实例都是隔离的，我们可以针对您的流量调整规则而无需顾虑邻居。您 API 上的误报会为您单独修好——而不是在共享租户之间讨价还价。

这条基线之外的完整边缘——全球负载均衡、DNSSEC、身份门禁——见 Google 边缘：完整解析。