网站访问诊断

功能简介

网站配错（域名/端口与真实访问不匹配、源站 HTTPS 证书不被信任、源站不可达）时，页面上往往只有一个"打不开"。「网站访问诊断」从 SamWaf 服务器视角分段模拟真实访问的每个环节，逐段展示请求/响应报文与连接细节，异常时给出对应的处理建议。

诊断与真实访问的关系

诊断是服务器上的独立探测，与浏览器真实访问是两条路径。服务器能通不等于用户能通（还受 DNS、CDN、NAT、端口映射、防火墙影响），结论已按环节区分，请结合各环节证据判断。

前置条件

• 仅超级管理员、安全管理员可执行诊断，且需通过后台登录；系统管理员、审计管理员及开放平台 API Key 无法调用。
• 只能诊断已保存的网站；编辑中未保存的配置不参与。

操作步骤

在 网站防护 → 网站列表 点击工具栏「网站访问诊断」按钮进入页面：

1. 选择网站：下拉选择已保存的网站（支持打字搜索）。
2. 填写实际访问网址：用户真实访问的完整地址（含协议与端口，可带路径与查询参数）。普通站点默认取本站主监听推导的地址。* 或 *.example.com 站点必须填写一个具体域名或 IP 的网址，例如 http://实际域名:7822/；页面按本站协议与端口显示示例，示例不会自动发送。检测会显示是否命中所选通配网站，结论仅适用于本次填写的具体地址。
3. 方法与请求头：仅支持 GET / HEAD；最多 20 个自定义请求头（不可覆盖 Host 等传输控制头）。「跟随系统代理」开关默认开启：服务器配置了 HTTP_PROXY/HTTPS_PROXY 环境变量时经代理访问、没有则直连；关闭则始终直连。
4. 点击「开始诊断」，按四个阶段依次检测，每个阶段可展开查看详情。

阶段说明

阶段	检测内容
配置与匹配	用访问网址在当前运行路由中推演：是否命中所选网站、按哪种方式命中（精确 / 别名 / 子域名通配 / 来源不限端口 / 通用网站）、协议端口是否与本站监听一致；保存配置与运行配置不一致时在此提示
本机WAF入口	向本站业务监听发起一次真实请求（正常经过认证、防护、缓存并产生访问日志），观察入口侧行为
源站	对保存的回源地址逐个独立探测（直连固定 IP、失败回落域名，与生产代理一致），默认每批 5 个，结果逐批展示
访问网址实测	从 SamWaf 服务器访问所填网址（默认跟随系统代理设置，可关闭改为强制直连），验证服务器视角的连通性、TLS 与响应

每个检查项包含：概览（逻辑地址 / 实际连接地址 / HTTP Host / TLS SNI 分别列出）、请求报文、响应报文、连接与证书信息、处理建议。建议支持一键定位到网站编辑页的对应配置小节。

系统代理的使用范围

「跟随系统代理」仅影响第四阶段「访问网址实测」；本机 WAF 入口和源站检测始终直连。代理设置来自 SamWaf 服务进程的环境变量 HTTP_PROXY、HTTPS_PROXY、NO_PROXY，与管理员浏览器的代理设置无关。命中 NO_PROXY 的地址仍然直连；修改服务进程的代理环境变量后，需要重启 SamWaf 才能生效。

通配网站例如 *:7822，可填写 http://你的域名:7822/ 或 http://服务器IP:7822/；例如 *.example.com，应填写实际使用的子域名。示例需换成你的真实地址，不能填写星号。检测只验证这次输入的地址，不代表所有通配子域名都已检测。

阅读要点

• 地址分列：逻辑网址、实际 socket 地址、HTTP Host、TLS SNI 是四个不同概念，诊断分别展示；生产"固定源站 IP + 回落域名"的实际尝试可追溯。
• TLS 失败：只显示失败原因（如证书过期、域名不匹配、不受信任）与操作指引，不会自动忽略校验或修改任何配置。
• 30x 响应：不会跟随跳转，原样展示响应头与 Location。
• 未校验标记：站点配置了"跳过 HTTPS 证书验证"时，证书验证结果显示"未校验"并明确标注。
• 隐私处理：查询参数值、请求头值、Cookie/Token 等在返回前已脱敏；诊断不写任何配置、健康状态或轮询数据。

常见问题

Q：源站检测通过了，为什么用户还是打不开？

源站检测只证明"SamWaf 到源站"这段通。用户到 SamWaf 之间还有 DNS 解析、CDN 回源、NAT/端口映射、防火墙等环节，请结合「本机WAF入口」与「访问网址实测」两段判断，并在用户侧核对实际访问地址。

Q：诊断会产生访问日志或触发防护规则吗？

「本机WAF入口」和「访问网址实测」是真实请求，会按正常规则产生访问日志与计数（如被 CC 规则拦截会如实显示 403）；「源站」阶段是直连源站的独立探测，不经过 WAF 防护。

Q：为什么提示"配置已变化，请重新诊断"？

各阶段之间如果网站配置被保存修改、或运行配置与保存配置不再一致，继续检测会得到误导性结果，因此中止并提示从「配置与匹配」重新开始。

Q：一次能诊断多少个源站？

源站阶段默认每批检测 5 个（负载均衡多后端时），剩余批次点击「下一批」继续；每批内并行不超过 2 个，单次阶段最长 10 秒。

更新记录

日期	适用版本	说明
2026-10-26	v1.3.25-beta.9	新增「网站访问诊断」：分段模拟配置匹配、本机入口、源站、访问网址实测，逐段展示请求/响应/连接/证书证据与处理建议。
2026-10-27	v1.3.25-beta.9	访问网址实测新增「跟随系统代理」开关（默认开启）；通配网站（* / *.域名）须填写具体域名或 IP 的网址并显示匹配类型；配置匹配展示路由命中方式。