feat(waf): 启用 OWASP CRS 异常评分制自动拦截

- SecRuleEngine On 自动拦截异常评分达阈值的请求（规则 949110）
- 新增 rules/local/tuning.conf 调优文件（偏执等级 1 + 阈值 5/4）
- tuning.conf 独立于自动生成的 crs/coraza.conf，重跑 fetch 不覆盖

waf/rules/waf.conf

@@ -19,6 +19,13 @@
 #       易出错）。engine.Reload 会先加载本文件，再扫描 local/*.conf 逐个加载。
 
 # ===== 基础配置（SecLang） =====
+# 引擎模式：
+#   On             —— 自动拦截：异常评分达到阈值（tx.inbound_anomaly_score_threshold）即 deny
+#   DetectionOnly  —— 只记录异常评分，不执行 deny（用于观察误报）
+#   Off            —— 完全关闭
+#
+# 当前为 On（自动拦截）：CRS 对每个请求累积异常分，达到阈值即拦截，低分请求全自动放行。
+# 阈值在 rules/local/tuning.conf 中配置（默认 5，越小越敏感、误报越多）。
 SecRuleEngine On
 SecRequestBodyAccess On
 SecResponseBodyAccess On