宝塔面板的ngx_lua_waf需手动启用include luawaf.conf并重启Nginx才生效，拦截在access阶段毫秒级响应;须验证403返回及错误日志确认加载，调整init.lua参数防误杀，并配置real_ip支持CDN。宝塔面板自带的 ngx_lua_waf 是开箱即用的高性能 WAF，但默认被注释掉，必须手动启用才能生效;它不依赖额外进程或代理，拦截发生在 Nginx access 阶段，毫秒级响应，对高并发站点友好。

　　修改 nginx.conf 启用 luawaf.conf宝塔 6.x 及以上版本中，luawaf.conf 文件始终存在，但配置被注释。不改这行，WAF 就是"有引擎没点火"。进入「软件商店」→ 找到已安装的 Nginx → 「设置」→ 「配置修改」在 http { 区块内搜索 #include luawaf.conf;(常见于第 13--25 行)删掉行首的 #，改为 include luawaf.conf;，保存立即执行 Nginx 重启(不是重载)，否则变更不加载注意：

　　部分用户误用「重载」，导致规则未加载却以为已启用------重载不会重新读取 http 块外的新 include，必须重启。验证 WAF 是否真正生效仅看配置文件修改成功还不够，得用真实请求触发并观察拦截行为。

　　访问测试 URL：http://你的域名/?id=../etc/passwd，应返回 403 或空白页(取决于规则配置)检查 Nginx 错误日志：/www/wwwlogs/nginx_error.log，出现类似 lua entry thread aborted: runtime error: /www/server/nginx/waf/init.lua:xxx: 表示 Lua 模块已加载若返回 500 或页面正常打开，大概率是 luajit 缺失或路径错误------宝塔编译版通常自带，但自定义编译的 Nginx 可能需重装支持 LuaJIT 的版本别只信面板没报错就认为 OK;WAF 失效时静默放行才是最危险的状态。 Vozo Vozo是一款强大的AI视频编辑工具，可以帮助用户轻松重写、配音和编辑视频。