高频问题与避坑

Q：开启防火墙后，网站正常用户无法提交数据了？
A：大概率是自定义规则过严，或误拦了正常POST请求。先关闭自定义规则，逐步添加排除。建议先开启全局基础规则运行一两天，无问题再开启自定义规则。

Q：Nginx防火墙和Apache防火墙选哪个？
A：根据你站点环境。Nginx防火墙性能更好，推荐使用。如果站点是Apache环境，则安装Apache防火墙，配置方法类似。

Q：外贸站需要额外做CDN防御吗？
A：宝塔面板防火墙主要防御应用层攻击，如果你使用了Cloudflare等CDN，可以在CDN侧也开启WAF规则，双重防护。

避坑提醒：

• 不要同时启用多个WAF（如CDN WAF + 宝塔WAF），容易导致规则冲突或请求超时。建议只用一个做主要拦截。
• 测试XSS payload时不要用真实用户账号或生产数据，最好在测试环境或非高峰时段操作。
• 定期查看防火墙日志，关注是否有正常业务被误拦，及时调整白名单。

完成以上步骤，你的外贸站就被宝塔面板保护起来了，XSS攻击流量会被有效拦截。
如果你发现个别变种依然能通过，可以搜索“宝塔WAF自定义规则XSS变种”进一步补充规则。