Cloudflare 於二〇二六年十月二十一日官方博客宣布，Web Application Firewall（WAF）新增兩項能力：完整交易偵測（full transaction detections）與回應規則（response rules）。前者把 HTTP 請求與其回應一併評估，用以辨識利用證據；後者可在源站回應到達請求者之前予以攔截。功能已對所有客戶（含 Free 方案）全面提供（GA），首批託管防護針對近期披露的 php2shell 漏洞。來源真實性已驗證，以 Cloudflare 官方稿為準。

Cloudflare／官方：WAF 全面開放「完整交易偵測」——請求＋回應聯動確認利用；回應規則可在到達訪客前攔截；含 Free 方案；首批託管規則針對 php2shell

前沿模型持續揭露深藏於常用軟體中的漏洞，防衛端得以釐清修補優先次序，攻擊端亦同時獲得新的利用路徑。Cloudflare 以近期 php2shell 為例，說明常見元件的缺陷可把互聯網上大量應用置於風險；而會根據回饋調整載荷、串連漏洞與權限的 AI 代理掃描，更令「應用回應本身」成為攻擊者判斷是否得手、並進一步深入的情報來源。僅靠請求層面的特徵攔截，已不足以覆蓋「看起來可疑、但必須對照回應才能確認是否真的外洩或被利用」的情境。本文依官方說明，整理完整交易偵測與回應規則的機制、託管與自訂範圍，以及對開發者與香港企業的可操作含義。

一、核心事件：兩項 WAF 新能力全面開放

根據 Cloudflare 官方博客《Introducing full transaction detection for Cloudflare WAF》（2026-10-21；作者 Daniele Molteni、Elie Roudninski、Nick Downie）：

• Cloudflare 擴充 WAF，新增兩項能力：完整交易偵測與回應規則。
• 完整交易偵測會把每一次 HTTP 請求連同其回應一併評估，用以辨識利用證據；協助同時回答「這個請求看起來是否惡意？」以及「應用處理之後實際發生了什麼？」。
• 回應規則可在源站回應到達請求者之前予以阻擋。
• 客戶可使用 Cloudflare 託管防護，或自行組合請求與回應屬性建立政策；偵測結果可在 Security Analytics 供調查。
• 首批採用此能力的託管防護，針對近期披露的 php2shell 漏洞。
• 上述能力已對所有 Cloudflare 客戶（包括 Free 方案）全面提供（generally available）。
• 完整交易偵測對所有經 Cloudflare 代理（proxy）流量的區域（zones）全面提供；儀表板路徑為 Security > Security Rules。

文中強調：檢查入站請求仍是在已知攻擊到達應用之前攔截的必要手段；但部分威脅只有在請求與源站回傳內容並陳時才會變得清晰——例如可疑輸入之後若回應暴露敏感資訊，其含義便與同一輸入後被拒絕或回報錯誤截然不同。

二、技術原理：請求不足、偵測與緩解分離

1. 為何僅看請求不夠

Cloudflare WAF 既有託管規則、自訂規則與速率限制，主要在請求層運作，以已知攻擊手法、漏洞特徵，或 IP、路徑、標頭、請求本文等參數阻擋流量到達源站。對許多威脅而言，這是正確的攔截點。但若把每一筆「可疑請求」都當成已確認的利用，會陷入兩難：過寬的請求簽章可抓到更多潛在攻擊，卻也更容易誤傷合法流量；只部署幾乎不誤報的規則，又可能放行較模糊的流量。

回應提供了缺失的證據。Cloudflare 現可把回應與產生該回應的請求關聯，使偵測能考量整段 HTTP 交易的結果。

官方舉例：應用允許使用者下載檔案時，攻擊者可能把 file 參數操作為目錄遍歷，例如：

GET /download?file=../../config/database.ini

請求檢查可辨識路徑遍歷並在到達應用前封鎖；但僅憑請求無法斷定應用是否會真的暴露該檔——它可能拒絕、忽略遍歷，或回傳錯誤。若請求已到達源站，而回應為成功並帶有類似私有設定檔的內容（例如含資料庫使用者名稱與密碼的設定本文），完整交易偵測便可把「遍歷嘗試」與「設定檔特徵回應」關聯，形成比單一訊號更強的敏感資料外洩證據。此時回應規則可用 Cloudflare WAF 封鎖頁與 HTTP 403 取代源站回應，在到達請求者之前阻擋，從效果上阻止敏感資訊落到攻擊者手上。

2. 偵測與緩解刻意分離

完整交易偵測延續 Cloudflare 今年較早推出的常開偵測框架：偵測分析流量並把中繼資料附到請求與回應；規則再決定如何處置這些結果。分離兩者，讓資安團隊可先在自身流量中檢視偵測、理解涉及的端點與簽章，再選擇適合該應用的回應策略。

與請求側 Attack Signature Detection 類似，偵測結果寫入可於回應自訂規則或託管偵測中使用的欄位。平台新增（對應請求側欄位）包括：

• cf.waf.signature.response.confidence：相符簽章的信心值
• cf.waf.signature.response.categories：相符簽章的類別
• cf.waf.signature.response.ref：簽章參考 ID，最多 10 個

首批完整交易偵測聚焦高知名度漏洞的利用確認：把可疑輸入與顯示利用可能已成功的回應訊號相關聯。Cloudflare 表示日後會擴及資料外洩與外傳訊號等其他用例，讓防禦能區分「探測」與「已造成影響的證據」，並把暴露訊號送達未必有專責團隊逐條調校 WAF 的客戶。

3. 託管規則、自訂規則與儀表板

• 託管：所有客戶可透過 Cloudflare Managed Response Firewall Default 規則集取得完整交易偵測陣列的保護；設計為一鍵部署、簡化設定。簽章相符時，託管偵測會封鎖回應並回傳標準 WAF 封鎖頁。客戶可編輯該規則集範圍，例如排除或限定特定路徑；付費客戶可在自訂回應規則中使用偵測欄位，建立更精細政策。該預設規則集預設對每筆請求執行；為降低誤報，可把緩解範圍收窄到應用的一部分。
• 方案分層：託管與自訂規則已對所有方案（含 Free）釋出。長期將沿用請求偵測的做法——Free 方案的託管偵測聚焦高知名度漏洞；付費客戶則隨時間獲得更豐富的偵測目錄。
• 自訂回應規則：所有客戶皆可組合請求與回應欄位建立規則；最多三條自訂回應規則，支援 Log 與 Block。回應自訂規則可用的欄位與函式，鏡像既有請求自訂規則在所屬方案下的能力。回應本文（response body）匹配尚未提供。付費客戶亦可透過上述 cf.waf.signature.response.* 欄位使用攻擊偵測結果，並與主機名、路徑、來源 IP、請求標頭等組合；官方指回應欄位正逐步向所有帳戶推出，若尚未可見可聯絡帳戶團隊。
• 儀表板：回應階段控制位於 Security > Security Rules 頁面底部，同時涵蓋託管防護與自訂規則。託管或自訂回應規則記錄或封鎖交易時，事件可在 Security Events 查閱；目前請求專用規則與完整交易規則同頁呈現。Security Events 中，回應規則產生的事件歸於 Managed Rules 或 Custom Rules 服務；可在相對規則列表以特定規則 ID 篩選。調查時亦可先在 Security Analytics 檢視完整交易偵測，再建立適合的回應階段政策。

官方亦提醒：回應規則可即時阻擋相符的源站回應，但無法撤銷源站上已執行的動作。

四、日常應用場景

1. 開發者與技術團隊

平台與應用安全工程可先在 Security Analytics 檢視完整交易偵測如何標記可疑輸入與回應訊號的組合，再決定是否啟用 Managed Response Firewall Default，或寫最多三條 Log／Block 自訂回應規則做路徑級實驗。路徑遍歷與管理介面外洩等情境，適合把「請求特徵 + 回應狀態／內容類型」寫進規則，而不是只靠請求簽章硬擋。注意回應本文匹配尚未可用，政策仍須依現有請求／回應欄位與偵測欄位設計。

2. 企業與隱私敏感行業

金融、醫療、法律與持牌運營商應關注：即便源站已錯誤回傳敏感內容，回應規則仍可在到達外部請求者前換成 WAF 封鎖頁，降低憑證、設定檔與管理介面 HTML 的外洩窗口。同時須理解偵測與緩解分離——先在自身流量確認偵測品質，再把託管規則範圍收窄到高風險路徑，以平衡誤報與覆蓋。php2shell 等首批託管防護適合作為「高知名度漏洞一鍵覆蓋」的起點，而非取代應用補丁與源站加固。

3. 一般用戶與站點營運者

Free 方案站點亦可獲得完整交易偵測與回應規則（含最多三條自訂規則，以及聚焦高知名度漏洞的託管偵測）。營運者可到 Security > Security Rules 確認是否受保護，並在 Security Events 追蹤封鎖或記錄事件。一般訪客通常只會在規則觸發時看到標準 WAF 封鎖頁（HTTP 403），而不應假設所有可疑請求都會在請求階段被擋下。

4. 香港與亞洲市場視角

香港與亞洲大量中小企業與代理站點以 Cloudflare Free／較低階方案作為 CDN 與基礎 WAF；本次 GA 含 Free，意味著在不升級方案的前提下，也可啟用「請求＋回應」聯動的利用確認與回應攔截，並取得針對 php2shell 等首批託管防護。對金融科技、電商與政府數碼服務等需面對目錄遍歷與管理介面探測的團隊，可把回應階段規則納入現有零信任與日誌調查流程；若需要更豐富的偵測目錄與以 cf.waf.signature.response.* 組裝的精細政策，則應對照付費方案能力與帳戶是否已獲回應欄位推出。亞洲區常見的多語系、多路徑應用，亦適合用範圍限制降低誤報。

五、專業評價與潛在考量

值得肯定

• 把「請求是否惡意」與「應用處理結果」綁成同一交易視角，對應 AI 代理掃描會依回應調整攻擊的現實。
• 偵測與緩解分離，並提供 confidence／categories／ref 等可組合欄位，便於先觀察再設政策。
• 含 Free 的全面 GA，以及 Managed Response Firewall Default 一鍵部署，降低沒有專責 WAF 團隊的站點啟用門檻；首批託管對準 php2shell，方向清晰。
• 回應規則可在到達請求者前換成封鎖頁，對已抵達源站的敏感外洩提供最後一道輸出控制（雖不能撤銷源站已執行動作）。

需要留意的地方

• 回應規則不能撤銷源站已執行的動作；仍須修補漏洞、收緊應用授權與檔案存取。
• 回應本文匹配尚未提供；自訂規則目前上限為三條，且動作為 Log／Block。
• Free 與付費在託管偵測目錄豐富度上會隨時間分化；不應假設 Free 覆蓋與付費目錄等同。
• 回應側簽章欄位正逐步向帳戶推出，未見欄位時需聯絡帳戶團隊，不宜假設所有帳戶當日即可用完整欄位組裝政策。
• 路徑遍歷示例中的設定檔內容屬官方說明用示意；本文不另行發明漏洞編號、受影響版本數量或攔截率。

結語

Cloudflare 把 WAF 從「主要看請求」推進到「請求與回應聯動確認利用」，並以回應規則在敏感內容到達訪客前攔截，直接回應前沿模型揭洞與 AI 代理適應性掃描的攻防節奏；含 Free 的 GA、一鍵託管規則集與首批 php2shell 防護，則讓更多站點能先取得高知名度漏洞的輸出側防護，再逐步以自訂規則與分析頁面調校。若你的機構正評估香港或亞洲業務的 CDN／WAF、零信任與雲端邊界加固，可參考 YSK 的雲端遷移與網絡安全服務（官網刊 99.99% SLA），把邊緣防護、源站加固與營運監控一次對齊。

參考來源

1. Cloudflare, “Introducing full transaction detection for Cloudflare WAF”, Daniele Molteni, Elie Roudninski, Nick Downie, 2026-10-21, https://blog.cloudflare.com/full-transaction-waf/