HTTP 策略

HTTP 策略允许你根据 URL、主机名、HTTP 方法、文件类型和其他请求属性过滤所有 HTTP 和 HTTPS 请求。与在第 4 层（TCP/UDP）运行的网络策略不同，HTTP 策略在第 7 层运行，可以检查 Web 流量的完整内容。

默认情况下，Gateway 检查端口 80 上的 HTTP 流量，并在开启 TLS 解密 时检查端口 443 上的 HTTPS 流量。你还可以将 Gateway 配置为在所有端口上检查 HTTP/HTTPS 流量。开启 UDP 代理 后，Gateway 支持 HTTP/3 检查。

HTTP 策略由一个操作（Action） 和一个确定策略范围的逻辑表达式组成。要构建表达式，请选择选择器（Selector） 和运算符（Operator），然后在值（Value） 字段中输入一个值或值范围。你可以使用 And（且） 和 Or（或） 逻辑运算符来评估多个条件。

• 操作
• 选择器
• 比较运算符
• 值
• 逻辑运算符

如果表达式中的条件结合了 query 属性（例如 Source IP）和响应属性（例如 Resolved IP），则该条件将在收到响应时进行评估。

HTTP 策略中的操作允许你选择对给定的一组元素（域名、IP 地址、文件类型等）执行什么处理。每个策略只能分配一个操作。

API 值：allow

Allow（允许）操作允许出站流量到达你在选择器和值字段中指定的目标。例如，以下配置允许流量到达我们归类为 Education（教育）内容类别的所有网站：

Untrusted certificate action（不受信任的证书操作） 决定如何处理不安全的请求。

Allow 策略可以在将流量转发到目标之前修改 HTTP 请求标头。你可以添加、覆盖或删除标头，并使用动态变量将身份、设备和网络上下文注入标头值。

有关更多信息，请参阅自定义标头。

API 值：block

Block（拦截）操作阻止出站流量到达你在选择器和值字段中指定的目标。例如，以下配置阻止用户向 Google Drive 上传任何文件类型：

开启 Display block notification for Cloudflare One Client 以显示 Gateway 拦截事件的通知。被拦截的用户将收到来自 Cloudflare One 客户端的操作系统通知，其中包含您设置的自定义消息。如果您没有设置自定义消息，Cloudflare One 客户端将显示默认消息。自定义消息长度必须在 100 个字符或以内。Cloudflare One 客户端每分钟只会显示一条通知。

选择该通知后，Cloudflare One 客户端将引导您的用户访问您配置的 Gateway 拦截页面。或者，您也可以将用户引导至自定义 URL，例如内部支持表单。

开启发送策略上下文 时，Gateway 会将匹配请求的详细信息作为查询字符串附加到重定向的 URL 中。并非每个上下文字段都会被包含。可能包含的策略上下文字段包括：

确保您的操作系统允许 Cloudflare One 客户端发送通知。如果启用了专注模式、勿扰模式或屏幕共享设置，您的设备可能不会显示通知。要在运行 DisplayLink 软件的 macOS 设备上启用客户端通知，您可能需要在镜像显示器时允许系统通知。有关更多信息，请参阅 macOS 文档 ↗。

API 值：redirect

Redirect（重定向）操作允许你将匹配的 HTTP 请求重定向到你指定的其他 URL。例如，如果用户浏览到 SaaS 应用的公共网页，你可以将他们重定向到你自己托管的实例、单点登录页面或内部策略页面。

要使用 Block 操作和拦截页面重定向 URL，请参阅重定向到拦截页面。

在 Policy URL redirect（策略 URL 重定向） 中，你可以定义将匹配请求重定向到的 URL。重定向 URL 可以包含路径和查询。例如，你可以将 example.com 重定向到 cloudflare.com/path/to/page?querystring=x。

开启发送策略上下文 时，Gateway 会将匹配请求的详细信息作为查询字符串附加到重定向的 URL 中。并非每个上下文字段都会被包含。可能包含的策略上下文字段包括：

当你开启 Preserve original path and query string（保留原始路径和查询字符串） 时，Gateway 会将原始路径和查询字符串追加到重定向 URL。重定向 URL 中的路径和查询优先于原始 URL。例如，如果原始 URL 是 example.com/path/to/page?querystring=X，重定向 URL 是 cloudflare.com/redirect-path?querystring=Y，Gateway 会将请求重定向到：

cloudflare.com/redirect-path/path/to/page?querystring=Y

当两个选项都开启时，Gateway 会保留原始路径和查询字符串，然后将策略上下文追加到重定向 URL 末尾。例如，如果原始 URL 是 example.com/path/to/page?querystring=X&k=1，重定向 URL 是 cloudflare.com/redirect-path?querystring=Y，Gateway 会将请求重定向到：

cloudflare.com/redirect-path/path/to/page?querystring=Y&k=1&[email protected]

API 值：forward

Forward（转发）会在允许的 HTTP 流量上调用 Worker。Worker 可以在将请求发送到原始目标之前修改请求、转换响应、返回合成响应，或运行后台工作。

Forward 策略在 HTTP 请求策略之后、请求体策略和检查之前的单独阶段运行。Gateway 按优先级顺序调用第一条匹配的 Forward 策略所选择的 Worker。

Gateway 在将原始请求体交给 Worker 之前对其进行检查。来自请求体检查的 Block 决定可以中断 Worker。

Allow 决定不会跳过 Forward 阶段。Forward 策略不会覆盖 Block 决定。

使用请求元数据选择器、身份和设备状况条件来选择流量。请求体检查结果、DLP 匹配和响应选择器无法选择 Worker。

HTTPS 流量需要 TLS 解密。Do Not Inspect 流量会绕过 Forward。Gateway 不会为 CONNECT 隧道、协议升级或 trailer 调用 Worker。WebSocket 流量直接连接到原始上游服务并绕过 Worker。有关协议限制和其他约束，请参阅已知限制。

有关设置、Worker 入口点和检查顺序，请参阅转发流量。可从 Worker 模板开始，用于通知、捕获或转换。

API 值：isolate

Isolate（隔离）操作通过 Cloudflare Browser Isolation 向用户提供匹配的流量。有关此操作的更多信息，请参阅隔离策略。

API 值：off

Do Not Inspect（不检测）允许你绕过对某些元素的检查。要阻止 Gateway 解密和检查 HTTPS 流量，策略必须匹配 TLS 标头中的 Server Name Indication（SNI）。在浏览器中访问 Do Not Inspect 站点时，浏览器可能会显示 Your connection is not private（你的连接不是专用连接） 警告，你可以继续以完成连接。有关可能需要 Do Not Inspect 策略的应用程序的更多信息，请参阅 TLS 解密限制。

API 值：noisolate

Do Not Isolate（不隔离）操作为匹配流量关闭浏览器隔离。有关此操作的更多信息，请参阅隔离策略。

API 值：noscan

当管理员为上传和/或下载启用 AV 扫描时，Gateway 会扫描每个受支持的文件。管理员可以利用 HTTP 规则选择性地关闭扫描。例如，要防止对上传到或从 example.com 下载的文件进行 AV 扫描，管理员可以配置以下规则：

当 Do Not Scan 规则匹配时，无论文件大小或文件类型是否受支持，都不会进行扫描。

API 值：quarantine

Quarantine（隔离）操作将匹配请求中的文件发送到文件沙箱以扫描恶意软件。Gateway 只会隔离文件沙箱中此前未见过的文件。有关此操作的更多信息，请参阅文件沙箱。

在 Sandbox file types（沙箱文件类型） 中，你可以选择策略要隔离的文件类型。你必须至少选择一种文件类型。

文件沙箱支持扫描以下文件类型：

Gateway 根据以下选择器或条件匹配 HTTP 流量：

由 Access 基础设施应用程序 保护的所有 目标。

由 Access 自托管私有应用程序 保护的所有目标 IP 和主机名。

来自 Shadow IT Discovery 或应用程序库的应用程序审核批准状态。有关更多信息，请参阅审核应用程序。

您可以使用同一个应用程序选择器，将 HTTP 策略应用于 Cloudflare 管理的应用程序以及在您账户中创建的自定义应用程序。有关详细信息，请参阅应用程序和应用类型。

对于自定义应用程序，主机名或目标 IP 必须与应用程序定义匹配。配置的端口和协议会进一步限制匹配范围。请参阅自定义应用程序匹配。

将 is（是） 运算符与 Application（应用程序） 选择器一起使用时，你可以使用应用程序细粒度控制来选择匹配应用程序流量的特定操作和 Operations。例如，你可以拦截向 ChatGPT 上传文件，而不拦截所有 ChatGPT 流量：

你可以根据将多个用户操作组合在一起的 Application Controls（应用程序控制） 匹配流量，或根据允许对应用程序支持的 API 级操作进行细粒度控制的 Operations（操作） 匹配流量。

有关更多信息，请参阅应用程序细粒度控制。

HTTP 请求的阶段。你可以使用此选择器指定是扫描发送到用户设备的 HTTP 请求中的数据，还是从用户设备发送到目标的数据。没有此选择器的策略会同时扫描 HTTP 请求体和响应体。

当前会话是否在 Remote Browser Isolation 中运行。使用此选择器对隔离和非隔离流量应用不同的策略行为。

属于特定安全类别的应用，这些类别由 Cloudflare Radar划分。

请求发往的大陆。地理位置由目标 IP 地址决定。要指定大陆，请在 Value（值） 字段中输入其两位字母代码：

请求发往的国家。地理位置由目标 IP 地址决定。要指定国家，请在 Value（值） 字段中输入其 ISO 3166-1 Alpha 2 代码 ↗。

请求目标的 IP 地址。

通过设备状态 (Device Posture) 选择器，管理员可以使用来自最终用户设备的信号来保护对其内部和外部资源的访问。例如，安全管理员可以根据设备上是否安装了特定软件以及/或者设备或软件是否以特定方式配置，来选择限制对内部应用程序的所有访问。

有关设备状态检测的更多信息，请参阅 设备状态 (Device posture)。

使用此选择器可匹配某个域名及其所有子域名。例如，您可以匹配 example.com 及其子域名，如 www.example.com。

Gateway 策略不支持直接使用包含非拉丁字符的 domain。要使用包含非拉丁字符的 domain，请将其添加到列表中。

使用这些选择器限制上传或下载事务的文件大小。文件大小以 mebibyte（MiB）为单位。

这些选择器会扫描 HTTP 正文中的文件签名。你可以从文件类别或特定文件类型中选择，例如可执行文件、归档和压缩文件、无法扫描的文件、Microsoft 365/Office 文档和 Adobe 文件。

Gateway 支持将以下文件类型与 Download File Types 和 Upload File Types 选择器一起使用：

这些选择器依赖于请求（用于上传）或响应（用于下载）中存在 Content-Type 标头。MIME 类型值必须与 Content-Type 标头中使用的格式匹配（例如 image/png、application/pdf）。

使用 Cloudflare 数据丢失防护（DLP）扫描 HTTP 流量中是否存在个人身份信息（PII）或源代码等敏感数据。你必须先配置 DLP 配置文件，才能在策略中使用此选择器。

HTTP 请求是否被识别为 Model Context Protocol (MCP) ↗ 流量。Gateway 通过检查协议特定的标头和有效负载特征来检测 MCP 流量。使用此选择器构建允许、拦截或隔离整个网络中 MCP 流量的策略。

例如，以下策略拦截未通过 MCP 门户到达的 MCP 流量：

使用此选择器仅匹配指定的主机名。例如，您可以匹配 test.example.com，但不能匹配 example.com 或 www.test.example.com。

Gateway 策略不支持直接使用包含非拉丁字符的 hostname。要使用包含非拉丁字符的 hostname，请将其添加到列表中。

流量中使用的 HTTP 请求方法。

流量收到的 HTTP 响应状态码。

从 HTTP 请求 URL 检测到的软件包注册表生态系统。有关更多信息，请参阅软件包注册表安全。

从 HTTP 请求 URL 检测到的软件包名称。

软件包的命名空间（当生态系统支持时）。对于 npm，这是 scope。对于 Maven，这是 group ID。对于 Go，这是模块路径。

从检测到的软件包坐标派生的 Package URL ↗。

从 HTTP 请求 URL 检测到的软件包版本。支持精确匹配和感知生态系统的版本比较运算符。有关版本比较语义的更多信息，请参阅软件包注册表安全。

浏览器将 HTTP 流量转发到的代理服务器。

由 Cloudflare Radar 分类为特定安全类别的应用程序。

发出请求的用户所在大陆。

地理位置是根据设备的公网 IP 地址（通常由用户的 ISP 分配）决定的。要指定大洲，请在值 字段中输入其两位字母代码：

发出请求的用户所在国家/地区。

地理位置是根据设备的公网 IP 地址（通常由用户的 ISP 分配）决定的。要指定国家/地区，请在值 字段中输入其 ISO 3166-1 Alpha-2 代码 ↗。

使用此选择器将 HTTP 策略应用于用户本地网络分配的、向 Gateway 发送请求的私有 IP 地址。

由 Gateway 代理的设备的原始 IP 地址。

用于将流量从 Cloudflare 转出的方法。使用此选择器根据流量如何离开 Gateway 应用策略。

可用值：internet（Internet）、cloudflare_wan（Cloudflare WAN）、cloudflare_tunnel（Cloudflare Tunnel）、device_client（Cloudflare One Client）、mesh（Mesh）。

用于将流量接入 Cloudflare 的方法。使用此选择器根据流量如何到达 Gateway 应用策略。

可用值：device_client（Device client）、mesh（Mesh）、cloudflare_wan（Cloudflare WAN）、clientless_rdp（Clientless RDP）、proxy_endpoint（Proxy endpoint）、agentless_biso（Clientless Browser Isolation）、mcp_portal（MCP portal）。

Gateway 会忽略 URL 中的尾随正斜杠（/）。例如，https://example.com 和 https://example.com/ 将被视为同一个 URL，并可能返回重复错误。

网页 URL 的路径名。

网页 URL 的路径名和查询。

网页 URL 的查询。

使用这些选择器来匹配身份属性。

使用此选择器匹配所有通过 Cloudflare One 客户端路由到特定虚拟网络（Virtual Network）的流量。

比较运算符是 Gateway 将流量与选择器进行匹配的方式。当您在仪表板策略生成器中选择 Selector（选择器） 时，Operator（运算符） 下拉菜单将显示该选择器的可用选项。

在值 字段中，当使用等值比较运算符（例如 is）时，您可以输入单个值；当使用包含比较运算符（例如 in）时，您可以输入多个值。此外，您可以使用正则表达式来为受支持的选择器指定值范围。

正则表达式使用 Rust 进行评估。Rust 的实现与其他地方使用的正则表达式库略有不同。有关更多信息，请参阅我们的通配符指南。要评估您的正则表达式是否匹配，可以使用 Rustexp ↗。

如果您想匹配多个值，可以使用管道符号（|）作为 OR 运算符。您不需要在管道符号之前使用转义字符（\）。例如，当 hostname 匹配 .*whispersystems.org 或 .*signal.org 时，以下表达式的计算结果为 true：

除了正则表达式外，您还可以使用逻辑运算符来匹配多个值。

要在表达式中评估多个条件，请选择 And（与） 逻辑运算符。这些表达式可以使用 Or（或） 逻辑运算符进行进一步比较。

Or（或） 运算符仅适用于同一表达式组中的条件。例如，您无法将流量中的条件与 Identity or Device Posture 中的条件进行比较。

如果表达式中的条件结合了 request 属性（例如 Source IP）和响应属性（例如 a DLP Profile），则该条件将在收到响应时进行评估。