用途：面向阿里云 WAF 3.0「扩展插件」，用自定义 Lua 脚本挂接到请求处理流程，实现原生规则之外的安全逻辑，覆盖创建、编辑与审查三类工作。
主要能力：提供本地项目文件约定（plugin.json 元数据、plugin.lua 脚本、params.json 参数定义、tests/.json 调试用例），用于版本控制与审查；给出编码规范、代码审查清单与常见错误对照。脚本通过 aliwaf.req. 读取请求，aliwaf.util.* 做编码/哈希/加解密，aliwaf.func.punish() 触发动作。
使用方式：在控制台创建插件并粘贴四部分配置，逐个填入流量参数后点击「Run Debug」，与 tests 期望比对通过后再关联到「自定义规则」保护模板才生效。读取请求体须按三步流程：is_last_fragment_arrived() 为假时调用 wait_request_body() 并返回；is_request_body_discarded() 为真则放弃；最后才 get_body()。参数须先判空再使用，避免 params.xxx 为 nil 导致全站误拦。
限制：仅订阅版企业/旗舰版与按量付费版支持，且为付费服务；无 OpenAPI/CLI，只能在控制台配置，无法导入本地文件；调试动作参数目前仅支持 block；print/warn 无日志输出；执行超时 2ms，超时即跳过（fail-open）；不可用 os、io、package、debug、coroutine，禁用 load/loadstring、dofile、loadfile、collectgarbage，禁止全局变量与 require。具体价格与更多细节暂未提供。