概览
防护效果需要和正常业务一起验证。发布一条规则前，先确定它要解决的行为，以及哪些请求不应受影响。
准备正常与异常两类样本
覆盖登录、支付、搜索、上传、回调和必要的自动化访问。异常样本只用于获授权的测试环境，不向第三方系统发起测试流量。
先缩小生效范围
按域名、路径和具体特征匹配，避免一次性覆盖所有访问。若实际平台提供观察模式，可先收集匹配情况，再决定执行动作。
检查误拦截的业务后果
不要只统计拦截数量。关注关键操作成功率、必要回调、用户反馈和命中记录；对合理例外设置清晰边界，避免例外不断扩大。
事先写明回退条件
记录目的、负责人、变更时间和恢复方法。正常请求失败超出预期时，按预先约定的范围回退并保留证据，为后续调整提供依据。