api-proxy-safety

name	api-proxy-safety
description	网关/代理/WAF/CDN 中间件的安全关键词匹配实现规范，防止纯子串匹配误判正常响应内容中的技术术语（如 Cloudflare、502、error）

API 代理安全关键词匹配规范

网关/WAF/CDN 中间件实现关键词匹配时，避免纯子串匹配导致正常响应内容被误判。

---

核心问题

纯子串匹配的误判

// ❌ 误判：纯子串匹配，长正文中的正常用词也会命中
var pseudoSuccessPatterns = []string{
    "cloudflare",
    "502 bad gateway",
    "bad gateway",
    "reconnecting",
    "upstream error",
}

当业务响应正文包含这些关键词的字面值（如文章主题就是 "Cloudflare"），纯子串匹配会触发误判，导致：

• 正常响应被当作伪成功错误
• 触发站点切换 / 上游降级
• 错误标记模型/节点不可用

关键事实：关键词出现在长正文中 ≠ 响应存在问题。

---

解决方案：强/弱特征拆分 + 分层判定

将关键词按风险特征拆分为两组，并配合 HTTP 元数据做分层判定：

分层判定原则（推荐）

使用正文关键词匹配前，先通过 HTTP 元数据排除绝大多数正常响应：

判定层	检查项	优先级
1. HTTP status	2xx=正常, 5xx/429/某些403=错误	最高
2. Content-Type	text/event-stream 保持流式处理, application/json 检查 schema	↑
3. 响应 schema / 错误字段	JSON 中 error.code / error.message / success:false 等	↑