匹配字段
字段描述
逻辑符
字段示例
IP
访问请求的来源IP。
取值支持多个IP或IP/掩码。
属于、不属于、在列表中、不在列表中
10.10.10.10
URI
访问请求的URI地址。例如：/action/member/id.php?id=1&td=2。
包含、不包含、 等于、不等于、长度小于、长度等于、长度大于、前缀匹配、等于多值之一、不等于多值之一
说明 逻辑符为等于、不等于时，输入的字符应以/开头。
/action/member/id.php?id=1&td=2
User-Agent
发起访问请求的客户端的浏览器标识、渲染引擎标识和版本信息等浏览器相关信息。
包含、不包含、等于、不等于、长度小于、长度等于、长度大于、等于多值之一、不等于多值之一
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.XX.XX Safari/537.36
Cookie
访问请求中携带的Cookie信息。
包含、不包含 、等于、不等于、长度小于、长度等于、长度大于、不存在、等于多值之一、不等于多值之一
cna=Z87DHXX/jXIBASQBsYAimToU; sca=234ea940; yunpk=177699790****
Referer
访问请求的来源网址，即该访问请求是从哪个页面跳转产生的。
包含、不包含 、等于、不等于、长度小于、长度等于、长度大于、不存在、等于多值之一、不等于多值之一
https://example.aliyundoc.com/
Content-Type
访问请求指定的响应HTTP内容类型，即MIME类型信息。
包含、不包含 、等于、不等于、长度小于、长度等于、长度大于、等于多值之一、不等于多值之一
text/plain;charset=UTF-8
X-Forwarded-For
访问请求的客户端真实IP。格式为：
包含、不包含 、等于、不等于、长度小于、长度等于、长度大于、不存在、等于多值之一、不等于多值之一
36.18.XX.XX,192.18.XX.XX
Content-Length
访问请求包含的字节数。
值小于、值等于、值大于
806
Post-Body
访问请求的内容信息。
包含、不包含、等于、不等于、等于多值之一、不等于多值之一
Content-Type: application/x-www-form-urlencoded
name=John&age=25&email=****
Http-Method
访问请求的方法。取值为：GET、POST、DELETE、PUT、OPTIONS、CONNECT、HEAD、TRACE。
等于、不等于、等于多值之一、不等于多值之一
POST
Header
访问请求的头部信息，用于自定义HTTP头部字段及匹配内容。
包含、不包含、等于、不等于 、长度小于、长度等于、长度大于、不存在、等于多值之一、不等于多值之一
*text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/****
Params
访问请求的URL地址中的参数部分，通常指URL中?后面的部分。例如，example.aliyundoc.com/index.html?action=login中的action=login就是参数部分。
包含、不包含 、等于、不等于、长度小于、长度等于、长度大于、等于多值之一、不等于多值之一
action=login
Raw-URI
未经过编码的URI，即保留了原始的字符序列。Raw-URI可以包含特殊字符和空格，但在使用时需要进行编码处理，以确保在网络传输和解析过程中不会引起歧义或错误。
包含、不包含、等于、不等于、长度小于、长度等于、长度大于、正则匹配、字节包含、字节等于、等于多值之一、不等于多值之一
GET /images/logo.png HTTP/1.1
Tls-Fingerprint
基于发起访问请求的客户端TLS指纹，通过阿里云自研算法识别和计算得出的客户端指纹值，用于访问请求的匹配和防护。客户端指纹查看方式：
在安全总览页面，单击域名页签，在页面最下方查看客户端TLS指纹。
在全量日志分析页面，使用ssl_client_tls_fingerprinting_md5字段搜索查看。您需要开通日志服务，具体请参见快速使用全量日志分析。
等于、不等于
74dcbf6b790160370bb6b7bea98d5978
HTTP/HTTPS
访问请求的协议类型，支持设置为HTTP和HTTPS。
等于、不等于
HTTP
HTTP版本
HTTP协议的版本，支持设置为HTTP/1.0，HTTP/1.1，HTTP/2.0版本。
等于、不等于、等于多值之一、不等于多值之一
HTTP/1.0
HTTP2.0指纹
根据HTTP2客户端的原始指纹，利用MD5算法处理后生成的HTTP2.0指纹。用来分析和识别不同的客户端，实现更安全和高效的通信。
等于、不等于
ad8424af1cc590e09f7b0c499bf7fcdb
JA3指纹
DDoS高防通过将TLS握手过程中的关键参数（包括TLS版本、密码套件、压缩算法和TLS扩展等信息）进行MD5哈希处理，生成一个字符串用来表示客户端的TLS配置，该字符串即JA3指纹。
JA3指纹可以用于识别和区分不同类型的TLS客户端，例如Web浏览器、移动应用程序、恶意软件等。
等于、不等于、等于多值之一、不等于多值之一
eb6f49e8db7ad1809f885d12232f4855
JA4指纹
JA4指纹通过引入更多的上下文信息和算法，例如浏览器的版本、操作系统等，减少了JA3指纹可能导致的重复性问题。
JA4指纹能够更准确地鉴别出真实的用户与伪装者，降低误识率。
等于、不等于、等于多值之一、不等于多值之一
f436b9416f37d134cadd04886327d3e8
大洲/国家
表示来源IP的地理位置。
区域封禁选择
欧洲