Coraza WAF中Include指令的Glob模式匹配问题解析

问题背景

在Coraza WAF配置文件中，开发者经常使用Include指令来引入其他规则文件。这个指令支持两种使用方式：直接指定文件名和使用glob模式匹配多个文件。然而，这两种方式在文件不存在时的行为表现不一致，这可能会给使用者带来困惑。

行为差异分析

当使用直接文件名方式时，如果目标文件不存在，Coraza会明确返回错误信息。例如执行Include Ncoraza.conf而该文件不存在时，系统会提示：

invalid WAF config from file: failed to parse string: failed to readfile: open Ncoraza.conf: no such file or directory

但当使用glob模式时，如Include coreruleset-default/*.conf，如果该目录不存在或没有匹配的文件，Coraza却不会返回任何错误。这是因为Go语言的fs.Glob函数设计如此——它只会在glob表达式格式错误时返回错误，而忽略文件系统错误。

潜在风险

这种不一致行为可能导致以下问题：

1. 配置静默失效：管理员可能误以为规则已生效，实际上由于路径错误未被加载
2. 权限问题难以排查：如用户对目录没有读取权限时，同样不会收到任何错误提示
3. 拼写错误难以发现：例如.comf和.conf的拼写错误可能导致规则未被加载但无提示

解决方案实现

社区通过修改代码增加了对空glob匹配的检查。现在当glob模式没有匹配到任何文件时，Coraza会返回明确的错误信息，例如：

invalid WAF config from string: failed to parse string: empty glob: rules/*.conf does not match any file

这一改进使得Coraza在处理文件包含时的行为更加一致和可靠，无论是直接指定文件还是使用glob模式，在文件不存在时都会明确报错。

技术实现细节

在底层实现上，解决方案主要做了以下工作：

1. 在执行glob匹配后，检查返回的文件列表是否为空
2. 如果是空列表，则构造并返回特定的错误信息
3. 保留原有的glob表达式格式错误检查
4. 确保错误信息的格式与现有系统保持一致

最佳实践建议

基于这一改进，建议Coraza使用者：

1. 在配置文件中使用Include指令时，始终检查返回的错误信息
2. 对于关键规则文件，建议使用直接文件引用而非glob模式，以便更快发现问题
3. 在部署前，使用测试配置验证所有包含文件都能被正确加载
4. 注意文件系统权限设置，确保Coraza进程有权限访问所有规则文件

这一改进使得Coraza在配置文件处理方面更加健壮和用户友好，有助于管理员更快发现和解决配置问题。