# tuning.conf —— OWASP CRS 调优（异常评分制）
# 本文件独立于 crs/coraza.conf（后者由 _fetch_crs.sh 自动生成，重跑会被覆盖）。
# engine 加载顺序：local/*.conf 在 crs/*.conf 之前，故此处 setvar 先于 CRS 规则生效。
#
# 自动拦截机制（waf.conf 已设为 On）：
#   每条规则命中按严重度累加异常分（CRITICAL=5 / ERROR=4 / WARNING=3 / NOTICE=2），
#   当 tx.anomaly_score >= tx.inbound_anomaly_score_threshold 时，规则 949110 自动 deny。
#   低分请求放行、高分请求拦截，全自动，无需人工干预。
#
# 调参旋钮：
#   - 偏执等级 1（paranoia_level=1）：只用最基础规则集，误报最少
#   - 异常评分阈值（inbound 5 / outbound 4）：
#     · 数值越小越敏感、误报越多；越大越宽松、漏报越多
#     · 若线上误报偏多，调大阈值（如 7/8）；漏报偏多则调小
#
# 调参后执行：kill -HUP <pid> 热加载生效。

# 偏执等级（1 最保守；2/3/4 递增更严、误报更多）
SecAction \
    "id:900000,\
    phase:1,\
    pass,\
    nolog,\
    setvar:tx.blocking_paranoia_level=1"

# 异常评分阈值
SecAction \
    "id:900110,\
    phase:1,\
    pass,\
    nolog,\
    setvar:tx.inbound_anomaly_score_threshold=5,\
    setvar:tx.outbound_anomaly_score_threshold=4"