接入百度智能云 Web 应用防火墙（Web Application Firewall，简称 WAF）后，在配置 Web 基础防护、IP 黑名单、CC 防护或 Bot 管理等规则时，您需要为每条规则指定相应的处置动作。本文将详细说明 WAF 支持的各类处置动作及其作用。

处置动作是规则配置中的关键要素，用于定义当请求满足匹配条件时，WAF 应执行的具体操作。不同的处置动作对应着不同的安全策略和用户交互方式，是 WAF 防护体系的核心组成部分，直接决定了系统对各类安全威胁的响应方式。

下表列出了 WAF 支持的全部处置动作及其详细说明。

处置动作	说明
观察	不阻断命中规则的请求，仅在日志中记录请求的命中情况。建议在规则正式启用前，先使用观察模式运行一段时间，通过分析 WAF 日志确认不存在误拦截后，再调整为拦截等其他处置动作。
拦截	直接阻断命中规则的请求，并向客户端返回拦截响应页面。WAF 默认使用统一的拦截响应页面。如需自定义页面内容，可通过自定义响应页面功能进行配置。
拦截并追加封禁	阻断命中规则的请求，同时将该请求的来源 IP 加入临时封禁列表，可自定义封禁时长。
JS 挑战	WAF 向客户端下发包含 JavaScript SDK 的 HTML页面，标准浏览器会自动执行 JS 代码生成挑战 Cookie。若客户端成功完成挑战 Cookie 验证，WAF 将在一定时间内（默认 10 分钟）放行该客户端的后续请求；若验证失败则拦截请求。
动态令牌挑战	WAF 向客户端下发包含令牌 SDK 的 HTML 页面，标准浏览器会自动执行令牌算法生成 Token。若客户端成功完成令牌验证，WAF 将在一定时间内（默认 10 分钟）放行该客户端的后续请求；若验证失败则拦截请求。
滑块验证	WAF 向客户端返回滑动验证页面。若客户端成功完成滑动验证，WAF 将在一定时间内（默认 30 分钟）放行该客户端的后续请求；若验证失败则拦截请求。
严格滑块验证	WAF 向客户端返回滑动验证页面。与普通滑块验证不同的是，严格模式下客户端每次命中规则时都需要重新完成滑动验证，验证成功后仅放行当前请求，验证失败则拦截请求。
人机识别	WAF 通过行为分析和特征识别技术，自动判断请求是否来自真实用户。对于正常请求放行；对于疑似机器人的请求，可能会触发进一步的验证流程（JS 挑战或者滑块验证）。
打码	WAF 对响应数据中的敏感信息进行脱敏处理，防止数据泄露。
回源标记	WAF 不直接处理命中规则的请求，而是在请求头中添加自定义的 Header 信息，将命中情况传递给源站服务器。您可以结合后端风控系统，根据该标记信息进行业务层面的处理。