用途：为 CloudFront、Application Load Balancer、API Gateway REST API 和 AppSync GraphQL API 配置 AWS WAF，过滤 HTTP/HTTPS 流量。该技能是路由器，每个任务对应 references/ 下的过程文件，执行前需完整阅读匹配的参考文件并遵循其约束与步骤。
主要能力：创建 Web ACL 并关联资源；配置日志与请求采样；添加 AWS 托管规则并用 Count 模式调优误报；添加基于速率的规则以缓解 HTTP 洪泛与暴力破解；使用 IP 集与地理匹配规则；Bot Control（Common 与 Targeted）；将 Bot 标签转为置信信号、转发信号并做自适应缓解；剥离入站 waf 头防伪造；恢复 CDN 后的真实客户端 IP；Fraud Control 保护登录与注册；查看和管理 AI/LLM 爬虫流量。
使用方式：连接时通过 AWS MCP 服务器执行命令（沙箱执行、审计日志、可观测性），否则回退到 AWS CLI。Web ACL 作用域在创建时固定：CloudFront 的 Web ACL 必须在 us-east-1 以 CLOUDFRONT 作用域创建；区域资源（ALB、API Gateway、AppSync）在其所在区域以 REGIONAL 作用域创建，之后不可更改。
限制与安全：日志先于调优，Count 模式调优依赖日志与采样开启。Bot Control 是链式流程，转发信号时必须配合入站头剥离规则。速率限制不覆盖撞库与虚假注册，需用 Fraud Control。L3/L4 DDoS 与 Shield 属 shieldadvanced 技能，多账户 WAF 属 firewallmanager 技能，本技能不配置被保护的资源。需遵循最小权限 IAM、临时凭证、CloudTrail 与 CloudWatch 监控、日志脱敏与静态加密，并确认 Web ACL 已关联且默认动作符合预期。