HAProxy 在负载均衡中如何过滤恶意请求

HAProxy可通过ACL规则实现前置防御，支持基于请求方法、头字段、URL路径与长度、动态限速及隐藏后端等多重安全策略。

HAProxy 在负载均衡过程中能直接拦截和过滤恶意 HTTP 请求，不依赖后端服务，属于“前置防御”。它通过 ACL（访问控制列表）匹配请求特征，再用 block、redirect 或 http-request deny 等指令实时干预流量，既减轻后端压力，又提升整体安全性。

基于请求方法和头字段过滤

很多攻击（如扫描、注入试探）会使用非法 HTTP 方法或缺失关键头字段。HAProxy 可快速识别并阻断：

• 只允许 GET 请求：用 acl valid_method method GET + http-request deny if !valid_method
• 强制要求 Cookie 头存在：用 acl need_cookie hdr_cnt(cookie) lt 1 + http-request deny if need_cookie
• 拒绝无 User-Agent 或含可疑 UA 的请求：acl bad_ua hdr(user-agent) -i sqlmap|nmap|gobuster + http-request deny if bad_ua

按 URL 路径和长度做精准限制

针对短链接、API 接口等固定格式服务，可对路径结构设硬性约束：

• 只放行 10 位长度的短路径：acl valid_path path_reg -i ^/[^/]{10}$ + http-request deny if !valid_path
• 屏蔽常见探测路径：acl scan_path path_beg -i /phpmyadmin/ /wp-admin/ /admin.php + http-request deny if scan_path
• 拒绝超长 URL（防缓冲区溢出）：acl long_url url_len gt 2048 + http-request deny if long_url

利用 stick-table 实时限速与封禁

对高频恶意行为（如暴力扫描、CC 攻击），单靠静态规则不够，需结合动态状态跟踪：

• 每 IP 每秒最多 10 次请求：stick-table type ip size 1m expire 10m store http_req_rate(10s)
• 触发阈值即封禁：http-request track-sc0 src + http-request deny deny_status 429 if { sc_http_req_rate(0) gt 10 }
• 配合自动封禁（如 5 分钟）：http-request set-var(req.blocked) str(1) if { sc_http_req_rate(0) gt 50 } + http-request deny if { var(req.blocked) eq 1 }

隐藏后端细节并重定向异常请求

避免暴露架构信息，同时把误请求导向安全出口，减少日志噪音和误报干扰：

• 删除敏感响应头：rspdel ^Server:|X-Powered-By:
• 将 favicon.ico 请求统一跳转到主站：acl is_favicon path_beg /favicon.ico + http-request redirect location https://example.com/favicon.ico code 301 if is_favicon
• 返回统一错误页（需配置 errorfile）：errorfile 403 /etc/haproxy/errors/403.http