以下是七层访问日志的详细字段说明。
注意：说明：
一、通用字段
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| ContentID | String | 与请求相关的内容标识符，用于识别 EO 平台上提供的计费、报告和监控的特定流量和内容子集。若该请求关联到内容标识符则为eocontentid；若无则为zoneid。 | ✓ | ✓ |
| EdgeEndTime | Timestamp ISO8601 | 完成响应客户端请求的时间。示例值：2024-10-14T05:13:43Z，表示 2024年10月14日 UTC+0 时区时间 05:13:43，等同于 2024年10月14日 UTC+8 时区（北京时间）13:13:43。 | ✕ | ✓ |
| EdgeFunctionSubrequest | Integer | 标识此条日志是否属于边缘函数发起的子请求，取值有：1：边缘函数发起的子请求。0：非边缘函数发起的子请求。 | ✓ | ✓ |
| LogTime | Timestamp ISO8601 | 日志生成的时间。示例值：2024-10-14T05:13:43Z | ✕ | ✓ |
| ParentRequestID | String | 当该请求是使用边缘函数发起时，记录父请求的RequestID；否则记录为“-”。 | ✓ | ✓ |
| RequestID | String | 客户端请求的唯一标识 ID。 | ✓ | ✓ |
二、客户端信息
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| ClientASN | String | 客户端 IP 所属自治系统编号（ASN）。 | ✕ | ✓ |
| ClientASNDescription | String | 客户端 IP 所属运营商/组织名称，与 ClientASN 字段值对应。 | ✕ | ✓ |
| ClientCity | String | 客户端 IP 解析出的城市所属的二级行政区标准化英文名称，格式标准：GeoNames 二级行政区（admin2）的标准 ASCII 英文名；对于无二级行政区的国家/地区，使用 GeoNames 城市级别的 ASCII 名称兜底。 | ✕ | ✓ |
| ClientConnectionID | String | 客户端与边缘节点之间连接的唯一标识。示例值：5692760165714882237 | ✕ | ✓ |
| ClientDeviceType | String | 客户端请求设备类型，取值有：TV：电视Tablet：平板电脑Mobile：手机Desktop：电脑Other：其他 | ✕ | ✓ |
| ClientIP | String | 与 EdgeOne 节点建立连接的客户端 IP。 | ✓ | ✓ |
| ClientISP | String | 客户端 IP 解析出的运营商信息。该字段待废弃，推荐使用 ClientASN 和 ClientASNDescription 作为替代。中国大陆境内数据，记录为 ISP 中文名称；全球可用区（不含中国大陆）数据，记录为 自治系统编号（ASN）。 | ✓ | ✓ |
| ClientPort | Integer | 与 EdgeOne 节点建立连接的客户端端口。 | ✕ | ✓ |
| ClientRegion | String | 客户端 IP 解析出来的国家/地区。格式标准：ISO 3166-1 alpha-2。 | ✓ | ✓ |
| ClientState | String | 客户端 IP 解析出的国家/地区下一级行政区划代码，遵循 ISO-3166-2 标准。 | ✓ | ✓ |
三、请求信息
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| RemotePort | Integer | TCP 协议下与客户端建立连接的 EdgeOne 节点端口。 | ✓ | ✓ |
| RequestBodyBytes | Integer | 客户端请求发送给 EdgeOne 节点的请求体大小，单位：Byte。 | ✕ | ✓ |
| RequestBytes | Integer | 客户端请求过程中向 EdgeOne 节点发送的总流量，根据请求头大小、请求体大小、SSL 握手中客户端向 EdgeOne 节点发送的数据统计。单位：Byte。 | ✓ | ✓ |
| RequestHost | String | 客户端请求的 Host。 | ✓ | ✓ |
| RequestMethod | String | 客户端请求的 HTTP Method，取值有：GETPOSTHEADPUTDELETECONNECTOPTIONSTRACEPATCH | ✓ | ✓ |
| RequestProtocol | String | 客户端请求的应用层协议，取值有：HTTP/1.0HTTP/1.1HTTP/2.0HTTP/3WebSocket | ✓ | ✓ |
| RequestRange | String | 客户端请求的 Range 参数信息。 | ✓ | ✓ |
| RequestReferer | String | 客户端请求的 Referer 信息。 | ✓ | ✓ |
| RequestScheme | String | 客户端请求的 HTTP 协议。取值有：HTTP、HTTPS。 | ✕ | ✓ |
| RequestSSLProtocol | String | 客户端使用的 SSL (TLS)协议，若取值为“-”，则表示请求没有 SSL 握手；取值有：TLS1.0TLS1.1TLS1.2TLS1.3 | ✕ | ✓ |
| RequestStatus | String | 客户端请求的状态，若使用 WebSocket 协议的请求，EdgeOne 会周期打印日志，可以使用此字段确定连接状态，取值有：0：未结束1：请求正常结束2：WebSocket 协议下，表示同一连接的首条日志3：WebSocket 协议下，表示同一连接的非首条、非末条日志 | ✓ | ✓ |
| RequestTime | Timestamp ISO8601 | EdgeOne 节点收到客户端请求的时间，时区：UTC +0。示例值：2024-10-14T05:13:43Z | ✓ | ✓ |
| RequestUA | String | 客户端请求的 User-Agent 信息。 | ✓ | ✓ |
| RequestUrl | String | 客户端请求的 URL Path ，不包含查询参数。 | ✓ | ✓ |
| RequestUrlQueryString | String | 客户端请求的 URL 携带的查询参数。 | ✓ | ✓ |
四、响应信息
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| EdgeCacheStatus | String | 客户端请求是否命中节点缓存，取值有：hit：请求命中 EdgeOne 节点缓存，资源由节点缓存提供。资源部分命中缓存也会记录为 hit。miss：请求未命中 EdgeOne 节点缓存，资源由源站提供。dynamic：请求的资源无法缓存/未配置被节点缓存，资源由源站提供。other：无法被识别的缓存状态。边缘函数响应的请求会记录为 other。 | ✓ | ✓ |
| EdgeInternalTime | Integer | 从 EdgeOne 接收到客户端发起的请求开始，到响应给客户端第一个字节，整个过程的耗时；单位：ms。 | ✓ | ✓ |
| EdgeResponseBodyBytes | Integer | 节点返回给客户端的响应体大小，单位：Byte。 | ✓ | ✓ |
| EdgeResponseBytes | Integer | 节点返回给客户端的总流量，根据响应头大小、响应体大小、SSL 握手中 EdgeOne 节点向客户端发送的数据统计而来。单位：Byte。 | ✓ | ✓ |
| EdgeResponseStatusCode | Integer | 节点响应返回给客户端的状态码。 | ✓ | ✓ |
| EdgeResponseTime | Integer | 从 EdgeOne 接收到客户端发起的请求开始，到响应给客户端最后一个字节，整个过程的耗时；单位：ms。 | ✓ | ✓ |
五、边缘服务端信息
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| EdgeException | String | 描述 EO 边缘节点处理请求时遇到的问题。字段取值含义详见 EdgeException 字段说明。 | ✕ | ✓ |
| EdgeServerID | String | 客户端访问到的 EdgeOne 服务器唯一标识。示例值：28a1672eeaa86c145501d3950bff06cc-501d3fb0abce346ac9a5598b665bfcfe | ✓ | ✓ |
| EdgeServerIP | String | DNS 解析 Host 得到的 EdgeOne 服务器 IP 地址。 | ✓ | ✓ |
| EdgeServerRegionTopDivision | String | 边缘服务端接入 IP 解析出的国家下一级的行政划分。目前仅支持中国大陆境内数据。格式标准：ISO-3166-2。 | ✕ | ✓ |
| EdgeSeverRegion | String | 边缘服务端接入 IP 解析出来的国家/地区，格式标准参考：ISO 3166-1 alpha-2。 | ✕ | ✓ |
六、源站信息
注意：说明：
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| OriginDNSResponseDuration | Float | 接收到源站 DNS 解析响应的耗时，若没有获取到值，记录为 -1 ，单位：ms。 | ✕ | ✓ |
| OriginDomain | String | 回源请求的目标源站域名或 IP 地址。仅当源站地址配置为 IP/域名时记录。 | ✕ | ✓ |
| OriginIP | String | 回源访问的源站 IP，若没有获取到值，记录为“-”。 | ✕ | ✓ |
| OriginRequestHeaderSendDuration | Float | 向源站发送请求头的耗时，一般是 0，若没有获取到值，记录为 -1 ，单位：ms。 | ✕ | ✓ |
| OriginResponseHeaderDuration | Float | 向源站发送请求头到接收到源站响应头的耗时，若没有获取到值，记录为 -1 ，单位：ms。 | ✕ | ✓ |
| OriginResponseStatusCode | Integer | 源站响应状态码，若没有获取到值，记录为 -1。 | ✕ | ✓ |
| OriginSSLProtocol | String | 请求源站使用的 SSL 协议版本，若没有获取到值，记录为“-”；取值有：TLS 1.0TLS 1.1TLS 1.2TLS 1.3 | ✕ | ✓ |
| OriginTCPHandshakeDuration | Float | 请求源站时，完成 TCP 握手的耗时，若没有获取到值，记录为 -1 ，单位：ms；注意：当连接重复利用时为0。 | ✕ | ✓ |
| OriginTLSHandshakeDuration | Float | 请求源站时，完成 TLS 握手的耗时，若没有获取到值或回源协议为 HTTP，记录为 -1 ，单位：ms；注意：当连接重复利用时为0。 | ✕ | ✓ |
七、安全防护相关字段
| 字段名称 | 数据类型 | 说明 | 离线日志是否支持该字段 | 实时日志是否支持该字段 |
| BotCharacteristic | String | EO Bot 智能分析引擎发现该请求具备的特征，仅提供给已启用 Bot 管理 – Bot 智能分析功能的域名。字段取值含义详见 BotCharacteristic 字段说明。 | ✕ | ✓ |
| BotClassAccountTakeOver | String | 基于近期 IP 情报数据，请求客户端 IP 有恶意破解登录、发起账号接管攻击的风险等级，取值有：high：高风险medium：中等风险low：一般风险-：无历史数据或域名没有开启客户端画像分析功能 | ✕ | ✓ |
| BotClassAttacker | String | 基于近期 IP 情报数据，请求客户端 IP 有攻击（如 DDoS，高频恶意请求、站点攻击等）行为的风险等级，取值有：high：高风险medium：中等风险low：一般风险-：无历史数据或域名没有开启客户端画像分析功能 | ✕ | ✓ |
| BotClassMaliciousBot | String | 基于近期 IP 情报数据，请求客户端 IP 有恶意爬虫、刷量和暴力破解行为的风险等级，取值有：high：高风险medium：中等风险low：一般风险-：无历史数据或域名没有开启客户端画像分析功能 | ✕ | ✓ |
| BotClassProxy | String | 基于近期 IP 情报数据，请求客户端 IP 开放可疑代理端口、并且被用作网络代理（包括秒拨IP）的风险等级，取值有：high：高风险medium：中等风险low：一般风险-：无历史数据或域名没有开启客户端画像分析功能 | ✕ | ✓ |
| BotClassScanner | String | 基于近期 IP 情报数据，请求客户端 IP 有攻击已知漏洞的扫描器行为的风险等级，取值有：high：高风险medium：中等风险low：一般风险-：无历史数据或域名没有开启客户端画像分析功能 | ✕ | ✓ |
| BotTag | String | EO Bot 智能分析引擎根据请求速率、IP 情报库等因素对请求进行综合评估分类，仅提供给已启用 Bot 管理 – Bot 智能分析功能的域名。取值有：evil_bot：恶意 Bot 请求suspect_bot：疑似 Bot 请求good_bot：正常 Bot 请求normal：正常请求-：未分类 | ✕ | ✓ |
| ChallengeState | String | 客户端请求命中安全规则后，在处理挑战过程中的状态。取值有：JSChallengeIssued：触发 JavaScript 挑战JSChallengeSolved：客户端完成 JavaScript 挑战，本次处置放行JSChallengeBypassed：由于客户端前序已完成 JavaScript 挑战且处于加白时效内，本次处置放行，未下发挑战ManagedChallengeIssued：触发托管挑战ManagedChallengeSolved：客户端完成托管挑战，本次处置放行ManagedChallengeBypassed：由于客户端前序已完成托管挑战且本次请求携带相应合法令牌，本次处置放行，未下发挑战 | ✕ | ✓ |
| ClientAttestationResultDetails | String | 用于标识客户端认证的详细结果。仅提供给已启用 Bot 管理 – 客户端认证 功能的域名。示例值：attest-0000323704_80_passed_TC-CAPTCHA-C-601/-1|CipNotMatch/-1,webview各级信息以特定字符分隔：第一层级：认证记录和客户端类型之间，使用英文逗号, 分隔。表示请求来源使用了对应客户端类型的认证。第二层级：多个独立的认证记录间，使用英文符号 & 分隔。第三层级：每个认证记录的具体信息详情间，使用英文下划线 _ 分隔，依次包括：认证方式 ID：表示所用的具体认证方式编号。认证结果评分：认证记录的风险评分。认证结果：认证参考结论，如 passed（通过）或 failed（未通过）。认证结果详情信息（第四层级）：包含更为详细的认证信息。第四层级：认证结果详情内部以英文斜杠 / 分隔，结构为：认证结果详情 ID / 认证异常 ID：认证过程中识别到的详细风险标签 ID，包含了不同前缀以区分不同认证来源，例如：“TC-CAPTCHA-C-601”中，“TC-CAPTCHA” 对应了腾讯云验证码，601 为具体风险标签 ID。此外，当认证记录异常时（如：认证记录过期失效，认证客户端信息不匹配），认证结果详情也将展示对应的异常原因，例如：CipNotMatch 用于标识客户端 IP 不匹配。其他认证详情信息（保留）：该部分为保留字段，用于携带认证结果中其他风控详情信息。请忽略该字段数据。第五层级：多个认证结果详情项以英文竖线 | 分隔。 | ✕ | ✓ |
| JA3Hash | String | 用于分析 SSL/TLS 客户端的 JA3 指纹的 MD5 哈希值，仅提供给已启用 Bot 管理的域名。 | ✕ | ✓ |
| JA4Fingerprint | String | 用于分析 SSL/TLS 客户端的 JA4 指纹信息，仅提供给已启用 Bot 管理的域名。 | ✕ | ✓ |
| SecurityAction | String | 请求命中安全规则后的最终处置动作，取值有：-：未知/未命中Monitor：观察JSChallenge：JavaScript 挑战Deny：拦截Allow：放行BlockIP：IP 封禁Redirect：重定向ReturnCustomPage：返回自定义页面ManagedChallenge：托管挑战Silence：静默LongDelay：长时间等待后响应ShortDelay：短时间等待后响应 | ✕ | ✓ |
| SecurityMatchingRules | String | 本次请求命中的所有 Web 防护规则信息的列表，以 JSON 数组字符串形式呈现。数组中每个对象代表一条命中的规则，按规则匹配顺序排列，包含命中规则 ID、规则描述、规则所属模块、处置方式信息。取值分别参考 SecurityRuleID、SecurityRuleDescription、SecurityModule、SecurityAction 字段说明。示例值：[ { "RuleID": "2186248347", "RuleDescription": "block-malicious-ua", "Module": "CustomRule", "Action": "Monitor" }, { "RuleID": "2186248348", "RuleDescription": "rate-limit-api", "Module": "CustomRule", "Action": "Monitor" }] | ✕ | ✓ |
| SecurityModule | String | 最终处置请求的安全模块名称，与 SecurityAction 对应，取值有：-：未知/未命中CustomRule：自定义规则RateLimitingCustomRule：速率限制规则ManagedRule：托管规则FrequentScanningProtection：高频扫描防护L7DDoS：HTTP DDoS 攻击防护，包含自适应频控、智能客户端过滤功能BandwidthAbuseProtection：流量防盗刷BotCaptchaPage：Bot管理 – 人机校验页BotManagement：Bot管理 – Bot 基础特征管理BotClientReputation：Bot管理 – 客户端画像分析BotBehaviorAnalysis：Bot管理 – Bot 智能分析BotCustomRule：Bot管理 – 自定义 Bot 规则BotActiveDetection：Bot管理 – 主动特征识别 | ✕ | ✓ |
| SecurityRuleDescription | String | 最终处置请求的安全规则相关描述，与 SecurityRuleID 对应。仅包含以下规则类型的名称：CustomRule（自定义规则）、RateLimitingCustomRule（速率限制规则）、BotCustomRule（自定义 Bot 规则）、BotActiveDetection（Bot 主动特征识别规则）、ManagedRule（托管规则，取值为所属规则组的描述信息）；其他规则类型记录为 -。 | ✕ | ✓ |
| SecurityRuleID | String | 最终处置请求的安全规则 ID，与 SecurityAction 对应。 | ✕ | ✓ |
八、日志示例
以下是默认情况下单条七层访问日志示例。你可以根据下游日志分析系统的具体要求自定义配置 EdgeOne 日志输出格式，更多请参见 自定义日志输出格式。
{ "ContentID": "zone-2mxigizoh600", "EdgeEndTime": "2024-10-13T23:30:39Z", "EdgeFunctionSubrequest": 0, "LogTime": "2024-10-13T23:30:39Z", "ParentRequestID": "-", "RequestID": "13719873400522703510", "ClientASN": "AS4816", "ClientASNDescription": "China Telecom", "ClientConnectionID": "5692760165714882237", "ClientDeviceType": "Desktop", "ClientIP": "0.0.0.0", "ClientISP": "中国电信", "ClientPort": 62389, "ClientRegion": "CN", "ClientState": "CN-LN", "RemotePort": 80, "RequestBodyBytes": 0, "RequestBytes": 769, "RequestHost": "www.example.com", "RequestMethod": "GET", "RequestProtocol": "HTTP/1.1", "RequestRange": "-", "RequestReferer": "-", "RequestScheme": "HTTPS", "RequestSSLProtocol": "TLS1.3", "RequestStatus": "1", "RequestTime": "2024-10-13T23:30:39Z", "RequestUA": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36", "RequestUrl": "/app/", "RequestUrlQueryString": "-", "EdgeCacheStatus": "miss", "EdgeInternalTime": 378, "EdgeResponseBodyBytes": 548, "EdgeResponseBytes": 825, "EdgeResponseStatusCode": 404, "EdgeResponseTime": 379, "EdgeException": "client_request_exception.upstream_failed", "EdgeServerID": "b3da9837137ad37f8e430b1d6de51dc5-d41d8cd98f00b204e9800998ecf8427e", "EdgeServerIP": "0.0.0.0", "EdgeServerRegionTopDivision": "CN-LN", "EdgeSeverRegion": "US", "OriginDNSResponseDuration": 0.0, "OriginDomain": "origin.example.com", "OriginIP": "0.0.0.0", "OriginRequestHeaderSendDuration": 0.001, "OriginResponseHeaderDuration": 182.676, "OriginResponseStatusCode": 404, "OriginSSLProtocol": "TLS1.2", "OriginTCPHandshakeDuration": 182.485, "OriginTLSHandshakeDuration": 0, "BotCharacteristic": "-", "BotClassAccountTakeOver": "-", "BotClassAttacker": "-", "BotClassMaliciousBot": "-", "BotClassProxy": "-", "BotClassScanner": "-", "BotTag": "normal", "ChallengeState": "-", "ClientAttestationResultDetails": "-", "JA3Hash": "1aff7135b7ef63d5ab35602cfee4fe66", "JA4Fingerprint": "t13d1516h2_8daaf6152771_b0da82dd1658", "SecurityAction": "Monitor", "SecurityMatchingRules": "[{\\"RuleID\\":\\"2186248347\\",\\"Action\\":\\"Monitor\\",\\"Module\\":\\"CustomRule\\",\\"RuleDescription\\":\\"block-malicious-ua\\"},{\\"RuleID\\":\\"2186248348\\",\\"Action\\":\\"Monitor\\",\\"Module\\":\\"CustomRule\\",\\"RuleDescription\\":\\"rate-limit-api\\"}]", "SecurityModule": "CustomRule", "SecurityRuleDescription": "rate-limit-api", "SecurityRuleID": "2186248348"}
九、EdgeException 字段说明
·字段格式：[请求阶段].[异常描述]
·若无异常，则字段值为no_exception
十、请求阶段
| 请求阶段取值 | 含义 |
| client_request_exception | 客户端向 EdgeOne 边缘节点发起请求过程中发生异常。 |
| edge_response_exception | EdgeOne 边缘节点向客户端响应请求过程中发生异常。 |
十一、异常描述
注意：说明：
注意：以下仅列出常见异常情况，后续 EdgeOne 有可能追加新的异常情况描述。
| 异常描述取值 | 含义 |
| timeout | 超时 |
| peer_close | 对端关闭（对端关闭以是否收到 FIN 包为准）；对于 EdgeOne 边缘服务端来说，对端指的是客户端。 |
| closed | 本端主动关闭 |
| read_buffer_full | 读 buffer 满 |
| package_write_failed | 写失败（仅针对 UDP） |
| peer_error | 读写数据出现异常（RST 等） |
| peers_is_empty | 回源 peers 为空 |
| module_load_failed | HTTP 模块加载失败 |
| header_too_large | HTTP 头部过大 |
| parse_header_failed | HTTP 解析头部失败 |
| read_offset_out_of_upstream_range | 读取回源数据的偏移超出了回源响应的 range |
| no_cache | 不使用缓存 |
| partial_compress_cache | 仅包含部分压缩缓存 |
| upstream_no_mtime | 回源响应无 mtime |
| cache_no_mtime | 本地缓存无 mtime |
| upstream_mtime_change | 回源 mtime 变化 |
| upstream_no_etag | 回源响应无 etag |
| cache_no_etag | 本地缓存无 etag |
| upstream_etag_change | 回源 etag 变化 |
| upstream_length_change | 回源长度变化 |
| upstream_status_change | 回源状态码变化 |
| upstream_data_not_set | 回源模块数据未初始化 |
| upstream_respond_extra_data | 源站响应多余数据 |
| domain_resolve_failed | 回源域名解析失败 |
| domain_resolve_none | 回源域名解析结果为空 |
| upstream_server_is_empty | 源站列表为空 |
| upstream_failed | 回源失败 |
| upstream_content_range_with_content_encoding | 源站响应同时包含 Content-Range 和 Content-Encoding |
| upstream_unknown_transfer_encoding | 源站响应未知 Transfer-Encoding |
| upstream_transfer_encoding_with_content_length | 源站响应同时包含 Transfer-Encoding 和 Content-Length |
| upstream_keepalive_without_length | 源站响应未知长度文件并要求 keep-alive |
| chunked_error | chunked 解析失败 |
| read_file_info_failed | 缓存文件信息读取失败 |
| set_cache_data_failed | 尝试设置缓存数据失败 |
| unknown_compress_method | 未知压缩算法 |
| compress_size_too_large | 压缩文件过大 |
| compress_error | 压缩异常 |
| upstream_verify_failed | UUID 防劫持校验失败 |
| scheme_error | 未知 scheme |
| empty_domain | 域名为空 |
| reset_client | 需 RST 客户端 |
| blacklist_fatal_error | 封禁名单异常 |
| range_index_error | 多 Range 下标异常 |
| upstream_respond_206_without_content_range | 源站响应 206 未携带 Range |
| upstream_respond_content_range_without_size | 源站响应 Content-Range 未携带文件总大小 |
| upstream_respond_error_content_range | 源站响应 Range 异常 |
十二、BotCharacteristic 字段说明
注意：说明：
注意：该字段仅提供给已启用 Bot 管理 – Bot 智能分析功能的域名。
| 字段取值 | 对应规则名称 | 详细描述 | 映射 Bot 标签（BotTag） | 可能命中攻击或业务场景 |
| Client Inconsistency | 客户端不一致 | 请求头部和特征不一致，或四层操作系统指纹与 User-Agent 不匹配 | 恶意 Bot | 伪造 UA，例如 Linux 服务器请求却声明为 Windows UA；某些用户使用代理、办公网/校园网等出口时，四层指纹来自代理机器，与用户 UA 不匹配。 |
| Irregular TLS Fingerprint | TLS 指纹异常 | 工具的 TLS 指纹异常 | 恶意 Bot，疑似 Bot | 脚本工具发起的请求；某些客户端用工具/组件调用 API、静态资源。 |
| High Frequency | 高频请求 | 同一或几个 IP/User-Agent 发送大量请求 | 恶意 Bot，疑似 Bot | / |
| Irregular Path Access | 非常规路径访问 | 请求路径出现随机或集中在特定接口，可能是扫描或数据抓取 | 恶意 Bot，疑似 Bot | 某些站点资源少或做活动时，用户请求在短时间内高频集中访问某特定路径。 |
| Real-time Proxy Detection | 实时代理检测 | 基于实时流量模式，判断请求是否可能经由代理转发 | 恶意 Bot，疑似 Bot | 黑产用秒拨代理换 IP 绕风控策略；用户用代理 VPN、办公网/校园网出口 IP；网络波动较大。 |
| TLS Fingerprint Inconsistency | TLS 指纹不一致 | TLS 指纹与 User-Agent 不匹配 | 恶意 Bot，疑似 Bot | 某些小众客户端（非常见 UA）；脚本工具请求；篡改 UA 请求；办公网/校园网出口。 |
| UA with Bot Identifier | UA 含 Bot 标识 | User-Agent 中包含常见的 bot 工具标识 | 恶意 Bot | 用户 UA 含常见脚本工具标识字符串。 |
| Python-Requests | Python-requests 请求 | 使用 python-requests 工具发送请求 | 恶意 Bot | 用户 UA 含python-requests字符串。 |
| Python-Urllib | Python-urllib 请求 | 使用 python-urllib 工具发送请求 | 恶意 Bot | 用户 UA 含python-urllib字符串。 |
| Curl | cURL 请求 | 使用 curl 工具发送请求 | 恶意 Bot | 用户 UA 含curl字符串。 |
| Go HTTP Client | Go HTTP 客户端请求 | 使用 go-http-client 工具发送请求 | 恶意 Bot | 用户 UA 含go-http-client字符串。 |
| Phpcrawl | phpcrawl 请求 | 使用 phpcrawl 工具发送请求 | 恶意 Bot | 用户 UA 含phpcrawl字符串。 |
| Libcurl | libcurl 请求 | 使用 libcurl 工具发送请求 | 恶意 Bot | 用户 UA 含libcurl字符串。 |
| WinHTTP Client | WinHTTP 请求 | 使用 WinHttpClient 工具发送请求 | 恶意 Bot | 用户 UA 含WinHttpClient字符串。 |
| Headless Browser | 无头浏览器 | 使用无头浏览器（如 Puppeteer，Selenium 等）发送请求 | 恶意 Bot | 用户 UA 含headless字符串。 |
| Triggered by Known Tool#{Num} | 特定工具特征#{Num} | 特定工具或行为触发的规则。{Num}用于标识不同的工具或行为。暂不支持自助查询/管理这一类特征，若有疑问请 联系我们。 | 恶意 Bot，疑似 Bot | / |