[新产品/新功能] Azure Front Door 上的 Azure WAF JavaScript 挑战功能正式发布

**发布时间:** 2025-11-11 **厂商:** Azure **类型:** Updates ---  [新产品/新功能] Azure Front Door 上的 Azure WAF JavaScript 挑战功能正式发布   # 产品功能分析 ## 新功能/新产品概述 Azure 宣布其 **Web 应用程序防火墙 (WAF)** on **Azure Front Door** 的 **JavaScript 质询 (JS Challenge)** 功能正式可用（GA）。该功能旨在增强平台的 **机器人程序管理 (Bot Mitigation)** 能力。 - **核心定义与目标**：**JS 质询** 是一种先进的安全机制，通过向客户端浏览器发送一段不可见的 JavaScript 代码来验证访问者是真实用户还是自动化机器人。其核心目标是在不干扰合法用户操作（即“无感知”）的情况下，精准识别并拦截恶意机器人流量。 - **技术原理**：当一个请求被 WAF 规则（无论是托管规则还是自定义规则）标记为可疑时，**Azure Front Door** 会向客户端返回一个包含 JavaScript 代码的响应。合法用户的浏览器会自动执行这段代码，完成一个后台的计算或环境检测任务（质询），并将结果返回给 WAF。由于大多数恶意机器人（尤其是简单的脚本）不具备完整的 JavaScript 执行引擎，它们无法完成质询，从而被有效拦截。此过程与需要用户手动交互的 **CAPTCHA**（验证码）形成鲜明对比。 - **目标用户与市场定位**：该功能主要面向使用 **Azure Front Door** 作为其内容分发和应用交付网络的企业客户。这些客户通常对网站性能、用户体验以及防护应用层攻击（如凭证填充、内容抓取、撞库攻击）有较高要求。此功能的推出，使 Azure WAF 在提供高级机器人防护方面与 Cloudflare、AWS 等主要竞争对手看齐，强化了其在云安全领域的竞争力。 ## 关键客户价值 - **增强机器人防护，同时保障用户体验** - **业务价值**：有效阻止恶意机器人对应用程序的攻击，保护敏感数据，防止服务滥用和欺诈行为，同时避免因引入繁琐的验证步骤（如 CAPTCHA）而导致的用户流失和转化率下降。这对于电商、金融、在线服务等对用户体验极为敏感的行业至关重要。 - **差异化优势**：核心优势在于其“无感知”和“无摩擦”的特性。它将安全验证过程对最终用户完全透明化，确保了流畅的访问体验。与传统的基于 IP 信誉或请求频率的限流策略相比，**JS 质询** 能够更准确地识别和拦截伪装成正常用户的复杂机器人。 - **灵活的策略集成与精细化控制** - **业务价值**：安全团队可以根据业务风险和流量特征，将 **JS 质询** 作为一种灵活的响应动作进行配置。这使得企业能够构建多层次、精细化的纵深防御体系，而不是采取“一刀切”的拦截策略，从而在安全性和业务连续性之间取得平衡。 - **实现机制**：该功能可作为 **托管机器人规则集 (Bot Managed ruleset)** 和 **自定义规则 (Custom rules)** 的一种缓解措施。 - **托管规则集**：当流量匹配到已知的恶意机器人签名时，可自动触发 **JS 质询** 进行二次验证。 - **自定义规则**：允许管理员基于特定的请求参数（如 URL 路径、请求头、来源地理位置等）创建规则，对特定场景（如登录接口、API 端点）的流量强制执行 **JS 质询**。 ## 关键技术洞察 - _基于客户端计算的无感知验证机制_ - **技术独特性**：该技术的核心在于将验证的“计算负载”从服务端部分转移到客户端。WAF 生成一个动态的、可能包含加密和混淆处理的 JavaScript 脚本，要求客户端浏览器执行特定的计算任务或检测浏览器环境指纹（如屏幕分辨率、插件、字体等）。 - **技术创新点**：这种方法超越了传统的基于网络特征（如 IP 地址、User-Agent）的静态检测，进入了客户端行为和环境验证的层面。它能有效识别无头浏览器（Headless Browser）或无法模拟完整浏览器环境的自动化工具，显著提升了对第七层复杂机器人的识别精度。 - **实现挑战**：技术实现的关键挑战在于质询脚本的设计。它必须足够复杂，以防止被轻易逆向工程和破解；同时又要足够轻量，避免对合法用户的设备性能和页面加载时间造成可感知的负面影响。Azure 需持续更新和迭代质询算法，以应对不断演进的机器人技术。   # 正式发布：Azure Front Door 上的 Azure WAF JavaScript 质询功能 **发布时间:** 2025-11-11 **厂商:** Azure **类型:** Updates *** 我们宣布，用于 Azure Front Door 的 Azure Web 应用程序防火墙 (WAF) 的 JavaScript (JS) 质询功能现已正式发布。为加强机器人缓解 (bot mitigation) 策略，Azure WAF 现引入 JS 质询作为一项新的安全功能。JS 质询通过区分合法用户和恶意机器人，提供了一个无感、无摩擦的保护层，无需任何人为交互。与 CAPTCHA 不同，此质询在后台静默运行，减少了对用户的干扰，同时能有效阻止有害的自动化流量。主要优势包括： - **增强的机器人防护**：恶意机器人无法通过 JS 质询，从而保护您的应用程序。 - **改善的用户体验**：合法用户不会受到干扰，确保了无缝访问。 - **灵活的集成**：可在机器人托管规则集 (Bot Managed ruleset) 和自定义规则中作为缓解措施使用。 [了解更多](https://aka.ms/JSC_AFD_Docs) 。