461请求被web防火墙拦截

下午三点十七分，请求墙拦我盯着屏幕上那行刺眼的防火红色提示——461请求被Web防火墙拦截——手指悬在键盘上，一时不知道该敲什么。请求墙拦

这不是防火第一次了。上周给客户传一份带签名的请求墙拦PDF合同，也是防火这个461。当时我以为是请求墙拦文件太大，压缩到2MB再传，防火还是请求墙拦461。后来换了个浏览器，防火好了。请求墙拦你说气不气人。防火

461这个状态码，请求墙拦说实话，防火挺冷门的请求墙拦。HTTP协议里400系列常见的是400、401、403、404，461连很多开发文档都懒得写。它本质上是nginx或者某些WAF（Web应用防火墙）自定义的返回码，意思是“请求被策略拦截”。不是服务器拒绝你，是防火墙觉得你不对劲。

那防火墙到底在拦什么？
最常见的是URL里的特殊字符。你传个带中文文件名的附件，或者参数里有个“%”号，某些规则就直接判定为注入攻击。更离谱的是，有次我明明什么都没干，就刷新了一下后台页面，也被461了——后来查日志才发现，是我那个IP在五分钟内请求了太多次，触发频率限制。

还有一次最搞笑。同事在群里发了个链接，说“帮我看看这个页面为啥打不开”。我点开，461。我换手机流量，还是461。最后发现是他自己写的代码里，把请求头里的User-Agent写成了“test”，WAF一看，这不像正常浏览器，拦了。

所以你看，461不是玄学，它就是一道门禁。门禁太严，好人也被挡在外面。有些公司的安全策略是“宁可错杀一千”，结果就是业务部门天天喊“系统又崩了”，技术部门一查，哦，461，不是崩了，是被自己人拦了。

怎么破？
最直接的办法是查看WAF的拦截日志，看具体命中哪条规则。但很多中小公司压根没配日志分析，防火墙黑盒一开，出了问题只能靠猜。我的经验是：先试无痕模式（排除Cookie问题），再试手机热点（排除IP封禁），最后改URL编码（排除特殊字符）。三步走完，80%的461能解决。

剩下20%，就得找运维把域名加白名单，或者临时关掉某个检测模块。但说实话，这操作需要权限，不是每个开发都有。所以很多时候，你只能等——等防火墙规则自动更新，或者等某个倒霉的运维被领导骂一顿后手动放行。

今天这个461，我试了无痕，不行；换了手机流量，还是不行。最后看了眼URL，好家伙，里面带了个“{ ”大括号——估计是某个框架自动生成的参数。我把大括号用%7B和%7D转义，刷新，页面出来了。

就这么简单。但如果你不懂HTTP编码，这问题能卡你一下午。

写到这儿，我看了眼时间，四点零二分。四十五分钟，就为了解决一个字符的编码问题。461这玩意儿，说它烦人吧，它确实在保护服务器；说它有用吧，它有时候蠢得像个死板的保安，只认工牌不认人脸。

算了，不吐槽了。转义好了就行。下次再遇到，我先看一眼URL里有没有花括号、方括号、竖线这种“危险字符”。
——经验就是这么攒出来的。