规则、IP 名单与 GeoIP

概念复制链接

控制台解析并检查表达式的字段、类型和动作后发布语法树；节点校验整份配置后把语法树编译执行，配置中不含可执行的 Lua 文本。

编辑网站规则复制链接

1. 打开 网站，选择网站，进入「规则」页签。

2. 在目标阶段右侧点击「添加规则」。

3. 填写规则名称和「表达式」。「插入条件」追加常用条件（路径前缀、Host 等于、文件扩展名、IP 段、IP 名单、国家/地区、ASN、User-Agent 包含、请求方法、Cookie 等于、查询参数等于、User-Agent 通配、Referer 通配）并选中其中的示例值，直接输入即可替换；「插入字段」追加字段，选择「Cookie」「查询参数」「请求头」时先在出现的输入框中填写名称，按回车或点击「插入」；二者都以 and 连接。表达式有误时，编辑框下方显示「第 N 个字符：原因」，例如「第 11 个字符：大小比较只用于数字字段」；保存时被控制台拒绝的表达式同样显示位置和原因。

4. 选择「动作」并填写动作参数，打开「启用」。新规则默认停用（经 API 保存时省略 enabled 也是停用），表达式默认是 true（匹配全部请求），保存前确认条件和动作。

5. 拖动规则左侧的手柄调整同一阶段内的顺序。

6. 点击「保存」。控制台提示「已保存」，并发布新的配置版本（原因「已更新规则与 IP 名单」）。

7. 验证：例如表达式 http.request.uri.path eq "/blocked" 配合「拦截」动作：

   复制

   curl -sI -H 'Host: www.example.com' http://<节点 IP>/blocked

   返回 403，响应头含 X-Edgeweir-Error: policy-denied。

全局规则在 全局规则 页编辑，界面与网站规则相同（「源站覆盖」没有「源站组」），作用于所有网站，保存后向所有集群发布新版本。API：GET、PUT /api/v1/platform-rules。

停用的规则不下发到节点。

阶段与动作复制链接

阶段按下表顺序执行。

动作字段复制链接

受保护头不能通过规则设置或移除：Host、Authorization、Proxy-Authorization、Cookie、Set-Cookie、Content-Length、Transfer-Encoding、Connection、Upgrade、TE、Trailer、CDN-Loop，以及以 X-Edgeweir- 开头的头。

「源站覆盖」至少修改一项：选择「默认组」以外的源站组，或填写「回源 Host」「SNI」「端口」之一。

覆盖设置复制链接

「覆盖设置」的每一项默认「不更改」，数值项留空即不更改。

后命中的规则逐项覆盖先命中的规则。压缩算法的开关只在网站已开启的算法中生效，规则不能开启网站未开启的算法。

动态目标与查询参数复制链接

1. 在重定向或改写路径规则的「目标」旁选择「表达式」。

2. 填写值表达式。编辑框下方显示「第 N 个字符：原因」时按函数与字段修改。

3. 按需切换「保留查询参数」，填写「设置查询参数」与「移除查询参数」。

4. 点击「保存」。

5. 验证：例如重定向规则的表达式为 starts_with(http.request.uri.path, "/old/")，目标为 regex_replace(http.request.uri.path, "^/old/", "/new/")，打开「保留查询参数」，「移除查询参数」为 utm_source：

   复制

   curl -sI -H 'Host: www.example.com' 'http://<节点 IP>/old/a?utm_source=x&id=1'

   返回 301，Location: /new/a?id=1。

值表达式是字符串字面量、字符串字段或返回字符串的函数调用：

concat("https://www.example.com", http.request.uri.path)
regex_replace(http.request.uri.path, "^/old/(.*)$", "/new/${1}")
wildcard_replace(http.request.full_uri, "https://*.example.com/*", "https://example.com/${1}/${2}")

报头值与查询参数值复制链接

1. 在请求头或响应头规则的「值」旁、或「设置查询参数」某一行的参数名后选择「表达式」。

2. 填写值表达式，例如回源阶段的请求头 X-Client-Country 取 ip.geoip.country，X-Req 取 http.request.id。编辑框下方显示「第 N 个字符：原因」时按函数与字段修改。

3. 响应头需要在已有同名头之外再加一行时打开「追加」。

4. 点击「保存」。规则修改热更新，不重载 nginx。

5. 验证：例如回源阶段的请求头规则 X-Req = http.request.id，源站收到的 X-Req 与响应头 X-Request-Id 相同；响应变换阶段两条追加 Link 的规则使响应带两行 Link：

   复制

   curl -sI -H 'Host: www.example.com' 'http://<节点 IP>/' | grep -i '^link:'

执行顺序复制链接

动作行为复制链接

限速复制链接

表达式复制链接

ip.src in $blocked
http.request.uri.path matches "^/(admin|private)/" and not ssl eq true
http.request.method in {"POST" "PUT"}
http.request.headers["x-region"] eq "nz"
ip.geoip.country eq "NZ" and ip.geoip.asnum in {64512 64513}
http.response.code ge 500
lower(http.host) eq "www.example.com"
len(http.request.uri.query) gt 1024
url_decode(http.request.uri.query) contains "<script"
not starts_with(http.request.uri.path, "/api/")
http.request.uri.path.extension in {"jpg" "png" "webp"}
http.request.cookies["role"] eq "admin"
http.user_agent wildcard "*curl*"
http.referer strict wildcard "https://*.example.com/*"
substring(sha256(http.request.uri.path), 0, 8) eq "a1b2c3d4"

字段复制链接

运算符与字面量复制链接

函数复制链接

所有字符串按 UTF-8 字节处理。参数是字段、字符串字面量或另一个函数调用。

IP 语义复制链接

正则复制链接

matches 与 regex_replace 使用同一个子集。控制台校验、节点校验与节点执行（PCRE）接受同一个子集；各引擎语义不一致的构造一律拒绝。

已保存的规则或缓存规则条件使用了不再支持的构造（例如 \s）时，保存所属网站或它的规则返回 RULE_INVALID，改写后再保存。其他发布（别的网站、ACME 挑战、系统设置）不受影响：该规则沿用上次编译的结果，并发出告警「已存规则不再通过校验，沿用上次编译结果」；从未编译过的这类规则会让所属网站暂不下发。已停用的网站不编译规则。

支持范围是 wirefilter 风格的子集，不是 wirefilter 的完整实现。

复杂度上限复制链接

批量重定向复制链接

网站的精确匹配重定向表：每条把一个来源重定向到一个静态目标。按前缀或通配重定向时，使用重定向规则与 wildcard_replace。

1. 打开 网站，选择网站，进入「批量重定向」页签。

2. 点击「添加重定向」，填写「来源」「目标」，选择「状态码」，按需打开「保留查询参数」。

3. 或点击「导入」，在「导入重定向」中每行填写一条（「每行一条：来源 目标 [状态码]」），按需打开「替换现有条目」，点击「导入」。

4. 点击「保存」。控制台提示「已保存」，并发布新的配置版本（原因「已更新规则与 IP 名单」）。

5. 验证：

   复制

   curl -sI -H 'Host: www.example.com' http://<节点 IP>/old

   返回该条目的状态码，Location 为目标。

IP 名单复制链接

1. 打开 IP 名单，点击「创建名单」。
2. 填写「名称」：以字母或下划线开头，只含字母、数字和下划线，1–64 字符。
3. 选择「动作」：「供规则引用」「拦截」或「放行」。
4. 在「IP 地址和 CIDR」中填写条目，以换行、空格或逗号分隔。
5. 点击「保存」。
6. 验证：列表显示 $名称 和「N 条记录」，拦截与放行名单另带「拦截」「放行」标记；在规则或缓存规则条件中用 ip.src in $名称 引用。

API：GET、POST /api/v1/ip-lists，PUT、DELETE /api/v1/ip-lists/{id}。

节点能力与发布复制链接

配置 GeoIP 数据库复制链接

GeoIP 字段读取节点本地的 MMDB 文件。节点不自动下载更新，也不向数据商发送访客地址。

1. 容器节点使用发布镜像时，国家和 ASN 无需配置；更新数据时拉取新镜像，或挂载另行下载的副本并设置 EDGEWEIR_GEOIP_IPINFO。

2. 安装包或压缩包节点：从 IPinfo 下载 ipinfo_lite.mmdb。需要按一级行政区匹配时，另外下载 City MMDB。核对来源、许可和完整性，记录下载日期。

3. 把文件放在节点可读的只读目录，为节点设置环境变量：

   复制

   EDGEWEIR_GEOIP_IPINFO=/etc/edgeweir-node/geoip/ipinfo_lite.mmdb
   EDGEWEIR_GEOIP_CITY=/etc/edgeweir-node/geoip/dbip-city-lite.mmdb

   容器部署挂载该目录并以 -e 传入同样的变量。

4. 重启节点，装入数据库：

   复制

   sudo systemctl restart edgeweir-node

5. 验证：防护设置 → GeoIP 数据库 中该节点显示「国家：可用」「ASN：可用」；配置了 City MMDB 时另显示「省份：可用」。

限制复制链接

故障排查复制链接