1. 课程导论：为什么需要 WAF Policy 观测标签体系？延迟场景下的核心痛点与目标
1.1 延迟场景下的“观测黑盒”困境
在微服务与 API 网关架构中，WAF（Web 应用防火墙）策略的每一次规则匹配、参数校验、限流或人机验证，都会引入额外的处理延迟。当业务侧反馈“接口响应变慢”时，运维与安全团队往往陷入以下困境：
- 无法区分延迟来源： 延迟是来自 WAF 策略本身（规则复杂度、正则回溯、IP 黑名单查询），还是来自上游业务服务（数据库慢查询、下游超时）？
- 缺乏策略级可见性： 只知道网关整体 P99 延迟升高，但不知道具体是哪一条 WAF 策略（如 SQL 注入检测、CC 防护、自定义规则）导致的延迟。
- 故障定位周期长： 安全团队与 SRE 团队需要跨部门拉群、导出日志、手动关联 trace 与 policy 执行记录，平均定位耗时超过 2 小时。
- 策略调优无依据： 无法量化每条策略的“安全收益 vs 延迟成本”，导致要么过度防护（延迟飙升），要么关闭关键策略（安全风险）。
核心矛盾： 安全策略的执行过程对可观测性系统而言是一个“黑盒”。传统监控只能看到“WAF 是否拦截了请求”，却看不到“WAF 在哪个策略上花了多少时间”。
1.2 为什么需要 WAF Policy 观测标签体系？
WAF Policy 观测标签体系的核心价值在于：将 WAF 策略的执行上下文（策略 ID、规则类型、匹配结果、耗时、资源消耗）以标准化标签的形式注入到可观测性数据（Trace、Metric、Log）中。这使得网关延迟问题可以被精确分解到策略粒度。
| 维度 | 传统观测方式 | 引入 Policy 标签后 |
|---|---|---|
| 延迟分解 | 只能看到网关总延迟 | 可分解为：网络延迟 + WAF 策略执行延迟 + 业务延迟 |
| 策略定位 | 需要逐条排查规则日志 | 通过标签直接过滤出“耗时 > 50ms 的策略” |
| 容量规划 | 凭经验估算 WAF 资源 | 基于策略标签的 CPU/内存消耗数据做精准扩缩容 |
| 安全审计 | 日志分散，难以关联 | 一次 Trace 即可看到：请求 → 策略匹配 → 拦截/放行 → 业务处理 |
1.3 延迟场景下的核心痛点
在构建观测标签体系之前，我们必须正视以下四个关键痛点：
- 标签爆炸与基数控制： 每条 WAF 策略都可能产生多个标签（策略 ID、规则组、匹配模式、执行阶段）。如果不对标签进行分层设计，Prometheus 等时序数据库会因高基数导致性能崩溃。
- 延迟敏感度差异： 不同 API 对延迟的容忍度不同（如支付接口 vs 静态资源接口）。观测标签需要支持按 API 维度聚合，才能区分“正常延迟”与“异常延迟”。
- 策略执行链路不透明： WAF 策略的执行往往包含多个阶段（请求解析 → 规则匹配 → 动作执行 → 响应改写）。标签体系需要覆盖全链路，而非仅记录最终结果。
- 跨团队协作鸿沟： 安全团队关注“拦截率”，SRE 团队关注“延迟”，业务团队关注“可用性”。观测标签必须成为三方都能理解的“通用语言”。
常见误区： 不要试图将所有 WAF 日志字段都变成观测标签。应当遵循“可操作优先”原则——只标签化那些能直接指导策略调优或故障定位的字段。
1.4 课程目标与体系概览
本课程旨在建立一套标准化的 WAF Policy 观测标签体系，帮助团队实现以下目标：
- 目标一： 将 WAF 策略执行延迟从网关总延迟中精确剥离，实现 策略级延迟分解。
- 目标二： 通过标签快速定位“高延迟策略”，并给出优化建议（如正则优化、缓存引入、规则合并）。
- 目标三： 构建安全与 SRE 团队共享的观测仪表盘，消除沟通壁垒。
- 目标四： 提供标签基数的控制策略，确保体系在日均亿级请求场景下仍可稳定运行。
1.5 延迟场景下的标签体系设计原则
针对延迟场景，WAF Policy 观测标签体系的设计需遵循以下原则：
| 原则 | 说明 | 延迟场景示例 |
|---|---|---|
| 1. 可分解性 | 标签必须支持将总延迟分解到策略、规则、阶段 | policy_id=sql_injection_v2 + rule_stage=regex_match |
| 2. 可过滤性 | 支持按延迟阈值、策略类型、API 分组快速过滤 | exec_duration_ms > 100 且 api_group=payment |
| 3. 低基数友好 | 避免将高基数字段（如 request_id）直接作为标签 | 使用 policy_id（有限集合）而非 rule_detail（无限集合） |
| 4. 上下文关联 | 标签需携带请求上下文，便于 Trace 关联 | trace_id + span_id 作为关联标签 |
实践建议： 在初期，优先为 Top 10 的高频策略注入观测标签。不要一次性对所有策略开启标签注入，避免对网关性能造成额外冲击。
1.6 本章小结
WAF Policy 观测标签体系是解决网关 API 延迟场景下“观测黑盒”问题的关键基础设施。通过将策略执行上下文标准化为可观测标签，团队能够实现：
- 从“网关延迟”到“策略延迟”的精确分解
- 从“人工排查”到“标签过滤”的快速定位
- 从“经验调优”到“数据驱动”的策略优化