Zorunlu parametre tanımlayabilir miyim (Required Query Parameters / Required Headers / Required Form Fields)?

Kısa cevap

Evet. Sayfa tipinin Query, Header ve Form sekmelerindeki ortak kuralda Required Query Parameters, Required Headers ve Required Form Fields listeleri bulunur; liste Restrict konumuna alınıp adlar eklendiğinde, istekte bulunmayan her ad Structure Policies kategorisinde ayrı bir 24 puanlık ihlal üretir. Adın istekte bulunması yeterlidir, değeri boş olabilir. Sorgu dizesi hiç olmayan istekte zorunlu sorgu parametrelerinin hepsi eksik sayılır; Required Form Fields yalnızca form gövdesi taşıyan isteklerde denetlenir. Başlık adları küçük harfle yazılır. JSON ve Xml bölümlerinde zorunlu ad listesi yoktur. Denetim için Checks penceresinde Argument Checks açık olmalıdır.

Sorun: Zorunlu Bir Alan Olmadan Gelen İstekler Uygulamaya Ulaşıyor

Bir uç nokta yalnızca belirli bir sorgu parametresi, başlık ya da form alanıyla çağrılmalı (ör. API anahtarı başlığı, CSRF alanı); alan eksikse istek uygulamaya ulaşmadan reddedilmeli.

Çözüm: İki Yöntem

İki yöntem aynı listeyi yazar; biri seçilir.

Durumunuz	Uygun yöntem
Ayarı arayüzden yapmak istiyorum	Yöntem 1: Ortak kuralda Required listesi
Betik ya da komut satırıyla yapmak istiyorum	Yöntem 2: WEB-CLI

Yöntem 1: Ortak Kuralda Required Listesi Önerilen

• Nasıl çalışır Bölümün ortak kuralına zorunlu ad listesi yazılır; istekte bulunmayan her ad ayrı ihlal sayılır.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → N page types → kural → Query / Header / Form → Add Common Rule for …
• GereksinimArgument Checks açık
• vService tipi WAF açık HTTP vService
• Etki alanı Yalnızca bu sayfa tipine eşleşen istekler; Any paths kuralına yazılan liste, o bölüm için kendi ortak kuralı olmayan bütün path'lere uygulanır

Adım adım yapılandırma

1

Adım 1 Checks penceresini aç (gerekiyorsa)

Argument Checks WAF açıldığında açık gelir; kapatıldıysa Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde Inspection & Blocking bölümündeki Checks kartının sağ üstündeki kalem ikonu tıklanır (Checks Edit ekranı).

2

Adım 2 Argument checks'i aç

Argument Checks açık konuma alınır.

3

Adım 3 Checks ayarını kaydet

Edit tıklanır.

4

Adım 4 Page Types listesini aç

WAF Management sekmesinde host grubunun N page types satırına tıklanır (Page Types ekranına erişim).

5

Adım 5 Sayfa tipini seç

Listede sayfa tipinin satırına tıklanır; kuralın detay paneli sağda açılır (panele erişim). Sayfa tipi yoksa önce eklenir (Yeni bir page type'ı elle nasıl eklerim?).

6

Adım 6 Sekmeyi aç

Zorunlu adın türüne göre Query, Header ya da Form sekmesine tıklanır.

7

Adım 7 Ortak kural formunu aç

Tablonun üstündeki Add Common Rule for Query (ya da … for Header, … for Form) tıklanır; kural o bölüm için kendi ortak kuralına sahipse buton Edit Common Rule for … olarak görünür. Ekleme formu Any paths kuralının o bölümdeki değerleriyle dolu açılır.

8

Adım 8 Zorunlu adları yaz

Required Query Parameters, Required Headers ya da Required Form Fields anahtarı Restrict konumuna alınır ve her ad listeye ayrı bir öğe olarak eklenir:

Bölüm	Adın yazımı
Query	İstekteki ham (URL kodlu) hâliyle, harfe duyarlı
Header	Küçük harfle (x-api-key); başlıklar küçük harfe indirilerek karşılaştırılır, liste girdileri çevrilmez
Form	urlencoded gövdede ham hâliyle, multipart gövdede alanın name değeriyle; harfe duyarlı

9

Adım 9 Kaydet

Add (düzenlemede Edit) tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir. Zorunluluğu kaldırmak için alan No Restriction konumuna alınır.

Doğrulama

1Eksik adİstemci tarafı

Host grubu Blocking modundayken zorunlu başlık olmadan istek gönderilir; ardından başlıkla tekrarlanır.

Komut: curl -s -o /dev/null -w "%{http_code}\n" https://www.example.com/api/rapor

BeklenenBaşlıksız istek 418, başlıklı istek uygulamanın yanıtı

418, Blocking Status Code varsayılanıdır. Monitor modunda istek geçer, yalnızca kaydedilir.

2Event LogsTR7 tarafı

vService'in Event Logs ekranında kayıt seçilip Attacks sekmesine bakılır.

BeklenenAttack area: Header@x-api-key · Attack name: Required headers

Yöntem 2: WEB-CLI

• Nasıl çalışır Zorunlu ad listesi WEB-CLI ile kuralın ortak parçasına yazılır (queryMustArgs, headerMustArgs, formMustArgs).
• Nerede açılır WEB-CLI → waf rule-parts
• Gereksinim WEB-CLI erişimi; Argument Checks açık (waf options update poolId <vService> --syncWithDefaultFwRules false --argumentChecks true)
• vService tipi WAF açık HTTP vService
• Ön dolum farkıadd komutu yazılmayan alanlara Any paths değerlerini değil komutun varsayılanlarını yazar

Adım adım yapılandırma

1

Adım 1 Kural kimliğini bul

Varsayılan host grubunun kimliği defaultHost'tur; kural kimlikleri id sütununda listelenir (Any paths kuralı default rule olarak görünür):

waf fw-rules list poolId <vService> hostGroupId defaultHost

2

Adım 2 Kuralın parçalarını listele

Açıklama sütununda header: (all keys) (ya da query: …, form: …) görünen satır o bölümün ortak parçasıdır:

waf rule-parts list poolId <vService> hostGroupId defaultHost ruleId <kural>

3

Adım 3 Ortak parça varsa mevcut listeyi gör

Çıktıdaki headerMustArgs.0, headerMustArgs.1 … satırları mevcut zorunlu adlardır:

waf rule-parts show poolId <vService> hostGroupId defaultHost ruleId <kural> <parça>

4

Adım 4 Adı ilk boş sıraya yaz

--headerMustArgs.N o sıradaki mevcut adın yerine geçer; yeni ad ilk boş sıraya yazılır (liste boşsa 0):

waf rule-parts update poolId <vService> hostGroupId defaultHost ruleId <kural> id <parça> --headerMustArgs.0 x-api-key

5

Adım 5 Ortak parça yoksa ekle

add yazılmayan alanlara komutun varsayılanlarını yazar: Header'da headerSize en çok 4096, headerKeyCount en çok 32; Form'da formBlockAll ve formBlockInvalid açık, formKeyCount en çok 32; iki bölümde de valueLength 0–1024 (bölge alanları). Form parçası eklenirken bütün form gövdelerinin engellenmemesi için --formBlockAll false verilir:

waf rule-parts add poolId <vService> hostGroupId defaultHost ruleId <kural> loc form --formBlockAll false --formMustArgs.0 csrf

Doğrulama

1Parça kaydıTR7 tarafı

Parça yeniden görüntülenir.

Komut: waf rule-parts show poolId <vService> hostGroupId defaultHost ruleId <kural> <parça>

BeklenenheaderMustArgs satırlarında zorunlu adlar

Zorunlu ad olmadan yapılan istek Yöntem 1'deki gibi engellenir.

Sık Yapılan Hatalar

• Zorunlu başlığı Any paths kuralına yazmak. Any paths kuralının Header ortak kuralı, kendi Header kuralı olmayan bütün path'lere uygulanır; dış izleme servisleri ve tarayıcıdan gelen statik olmayan istekler de başlığı taşımadığı için engellenir. Zorunluluk path'e özel sayfa tipine yazılır.
• Başlık adını büyük harfle yazmak. Başlıklar küçük harfe indirilerek karşılaştırılır, liste girdileri çevrilmez; X-Api-Key hiçbir zaman sağlanmaz (Belirli bir header'ın varlığını zorunlu kılabilir miyim?).
• Required form fields'ın GET isteklerini de denetlediğini sanmak. Denetim yalnızca application/x-www-form-urlencoded ya da multipart/form-data gövdesi çözümlenen isteklerde çalışır; gövdesiz istek bu listeden ihlal üretmez.
• JSON API için zorunlu anahtar aramak. JSON ve Xml bölümlerinde zorunlu liste yoktur; gövdenin şekli Allowed JSON Keys ve değişken kurallarıyla kısıtlanır (JSON'da yalnızca belirli anahtarların gelmesine izin verebilir miyim; iç içe anahtar yolları nasıl yazılır?).
• WEB-CLI'da form parçasını add ile varsayılanlarla eklemek. formBlockAll varsayılanı açıktır; komutta --formBlockAll false verilmezse sayfaya gelen bütün form gövdeleri engellenir.

Dokümantasyonda nasıl yapılır

• Query · Required Query Parameters
• Header · Required Headers
• Form · Required Form Fields
• WEB-CLI waf rule-parts · Bölgelere göre alan aileleri

İlgili sorular

• Belirli bir header'ın varlığını zorunlu kılabilir miyim?
• Bir sayfada yalnızca izin verdiğim query parametrelerinin gelmesini nasıl sağlarım (Allowed Query Parameters)?
• Structure Checks ve Argument Checks ana anahtarları ne yapar; kapatırsam ne olur?