打开 软件管理 > Nginx > 设置 > 配置修改；
查找#include luawaf.conf;，去掉前面的 # 符号（“#”代表注释），保存并重启 Nginx即可开启。
可以试着访问 http://你的网址/?id=../etc/passwd，如果页面弹出拦截提示即表示开启成功！
一般来讲默认开启即可发挥拦截作用，如需修改规则可在/www/server/nginx/waf/config.lua自行修改。
RulePath = "/www/server/panel/vhost/wafconf/"
--waf 详细规则存放目录（一般无需修改）
attacklog = "on"
--是否开启攻击日志记录(on 代表开启，off 代表关闭。下同)
logdir = "/www/wwwlogs/waf/"
--攻击日志文件存放目录（一般无需修改）
UrlDeny="on"
--是否开启恶意 url 拦截
Redirect="on"
--拦截后是否重定向
CookieMatch="off"
--是否开启恶意 Cookie 拦截
postMatch="off"
--是否开启 POST 攻击拦截
whiteModule="on"
--是否开启 url 白名单
black_fileExt={"php","jsp"}
--文件后缀名上传黑名单，如有多个则用英文逗号分隔。如：{"后缀名1","后缀名2","后缀名
3"……} ipWhitelist={"127.0.0.1"}
--白名单 IP，如有多个则用英文逗号分隔。如：{"127.0.0.1","127.0.0.2","127.0.0.3"……} 下同
ipBlocklist={"1.0.0.1"}
--黑名单 IP
CCDeny="off"
--是否开启 CC 攻击拦截
CCrate="300/60"
--CC 攻击拦截阈值，单位为秒。"300/60" 代表 60 秒内如果同一个 IP 访问了 300 次则拉黑