常见问题

接入、回源或访问验证出现异常时，先根据现象定位。每次只调整一处配置，确认结果后再继续。

接入与访问

接入 WAF 后出现 502，先查哪里？

先检查源站是否健康，再逐跳检查入口代理、WAF 和回源服务。502 是网关看到的结果，实际原因可能是连接失败、Host 不匹配、回源协议错误或连接被关闭。

IP 可以访问，换成域名却断开连接？

检查客户端实际发送的 Host 是否在站点域名列表中。只配置内部地址、没有加入对外访问域名时，请求可能被拒绝；前置代理有时会将连接关闭表现为 502。

页面有内容，但样式、图片或脚本加载失败？

检查入口代理是否保留了指向空目录的静态资源规则。动态站点的资源请求通常应继续回源；只有明确部署在入口的文件才应由入口直接提供。

浏览器反复跳转，或安全校验一直无法完成？

先区分回源重定向循环和校验失败。前者检查回源地址是否又跳回公网入口；后者查看挑战请求的失败原因，并核对外部 HTTPS 与 WAF 实际接收的协议。

容器内能解析服务名，WAF 却提示服务不可达？

系统命令与 OpenResty 的网络请求可能使用不同的解析方式。先判断是 DNS、网络还是认证错误，再核对实际生效的 resolver 配置；不要直接把容器内 DNS 地址套用到其他部署环境。

修复后正常，重建容器又复发？

确认改动写入了持久化配置，并且服务实际加载的是同一份文件。容器重启与重建不同，只修改容器临时目录的内容可能在重建后丢失。

命令行返回 403，就说明站点故障吗？

不一定。命令行工具通常不能完成浏览器 JS 校验，也可能命中 Bot 策略。结合日志区分拦截、挑战和连接异常；需要验证真实访问时，使用浏览器检查页面、资源和校验请求。