用途：面向 Vercel 项目的防火墙配置与运维指导，涵盖平台级 DDoS 防护、Web 应用防火墙（WAF）自定义规则、IP 封禁、托管规则集（如 Bot Protection、AI Bots）、Attack Mode 与系统缓解。自动 DDoS 缓解对所有项目与套餐默认开启，无需配置，覆盖 L3/L4/L7；被 DDoS 缓解或 WAF 拦截的流量不计费。
主要能力：自定义规则支持 deny、challenge、log、bypass、rate_limit、redirect 等动作，可按 host、path、query、protocol、scheme、method、route、ip_address、header、cookie、user_agent、environment、region、geo_* 与 ja4_digest 等字段匹配；条件组内为 AND，组间用 --or 为 OR。速率限制可设窗口（10–3600 秒）、请求上限、计数键（ip、ja4，header 仅 Enterprise）与超限动作。IP 封禁支持单个 IP 或 CIDR，可按 hostname 限定。系统绕过让受信 IP/CIDR 跳过全部防火墙检查。Attack Mode 为应急响应，未验证访客需通过验证页，已验证机器人与搜索爬虫豁免。
使用方式：项目需先 vercel link。常用命令包括 vercel firewall overview、diff、rules list/inspect/add/edit/enable/disable/remove/reorder、ip-blocks list/block/unblock、system-bypass list/add/remove、attack-mode enable/disable、system-mitigations pause/resume、publish/discard。规则与 IP 封禁改动先进入草稿，需 vercel firewall publish --yes 生效；system-bypass、attack-mode、system-mitigations 立即生效。可用 vc metrics vercel.firewall_action.count 按 waf_rule_id、waf_action 分组查询指标（需 Observability Plus）。
适用场景：为 API 添加速率限制、封禁滥用 IP、拦截爬虫与漏洞探测、在预览环境验证规则后再上生产、应对进行中的攻击。
限制与注意：--ai 与交互式向导仅限 TTY，代理/脚本不可用；attack-mode enable 与 system-mitigations pause 因风险被 CLI 对代理/脚本屏蔽，需用户自行执行。持久化动作（--duration，Pro/Enterprise）在规则删除后仍会持续封禁。速率限制计数器按区域独立，多区域可能合计超出配置上限。JA4、User-Agent 与 IP 可能与真实用户碰撞，建议先用 log 观察、再在预览环境验证、最后在生产启用。系统绕过不覆盖自定义规则，需用 --action bypass 的自定义规则。编辑规则时 --condition 会覆盖原有全部条件。部分细节（如具体价格、完整指标目录）暂未提供。