Vercel 部署

打开 Firewall

进入 Vercel Dashboard，选择项目，打开 Firewall。先查看 Traffic 和 Events，确认正常用户、搜索引擎和 API 请求的大致分布。

配置高风险路径规则

推荐先用 Log 或 429 观察，再逐步改成 Challenge 或 Deny。

不要对 /api/payments/webhook/* 使用浏览器 Challenge。支付 webhook 应由应用层签名验证保护。

发布并观察

Vercel Firewall 规则发布后会在全球边缘生效。上线初期建议至少观察一天 Firewall Events，再提高规则强度。

更新生产环境变量

确认规则已经生效后，把生产环境变量设为：

EDGE_WAF_PROVIDER=vercel
EDGE_WAF_CONFIGURED=true
RATE_LIMIT_ENABLED=true
RATE_LIMIT_STORE=postgres

然后重新部署，并运行：

cd apps/01mvp-web
SECURITY_CHECK_ENV=production pnpm security:check -- --strict

确认 DNS 和 SSL 模式

在 Cloudflare DNS 中确认生产域名记录是橙色云朵代理状态。SSL/TLS 模式使用 Full (Strict)。

启用 Managed Rules

进入 Security > WAF > Managed rules。按计划可用范围启用 Free Managed Ruleset、Cloudflare Managed Ruleset 或 OWASP Core Ruleset。

添加 Rate limiting rules

进入 Security > WAF > Rate limiting rules，给高风险路径添加规则。常用表达式：

starts_with(http.request.uri.path, "/api/auth/")

http.request.uri.path in {"/api/ai/image" "/api/ai/video"}

starts_with(http.request.uri.path, "/api/uploads/") or http.request.uri.path eq "/api/feedback"

上线初期先用 Log 或 Managed Challenge 观察，再按真实流量调阈值。

排除不能 Challenge 的入口

支付 webhook、OAuth callback、服务端到服务端 API 不适合浏览器 Challenge。对这些入口依赖签名校验、token、IP allowlist 或宽松 rate limit。

更新生产环境变量

确认 Cloudflare 规则已经生效后，把生产环境变量设为：

EDGE_WAF_PROVIDER=cloudflare
EDGE_WAF_CONFIGURED=true
RATE_LIMIT_ENABLED=true
RATE_LIMIT_STORE=postgres