不是的，WAF的日志并非必须有攻击才会产生。你勾选了“日志采集”却看不到日志，通常是因为日志类型没有选对，或者访问日志默认是关闭的。

 WAF日志的主要类型

WAF的日志体系是分开的，不同日志的触发条件完全不同。以H3C WAF为例，日志通常分为以下几类：

你目前看到的“没有日志”，很可能是因为只开启了攻击日志的记录，而访问日志没有被启用。

 为什么勾选了“日志采集”还是看不到？

这里有一个常见的误区：“日志采集”是一个总开关，但具体记录哪些类型的日志，还需要在下方单独勾选或配置。

许多WAF产品（包括华为云、阿里云等）出于性能考虑，访问日志默认是关闭的。因为访问日志的数据量远大于攻击日志，全量记录会消耗大量存储和计算资源。华为云的文档就明确指出：“由于访问日志数量庞大，为避免影响WAF引擎性能，WAF默认不记录访问日志。”

因此，如果你的“日志采集”只勾选了攻击日志相关的选项，那么在没有攻击发生时，自然什么日志都看不到。

 如何让无攻击时也能看到日志？

如果你希望验证WAF是否在工作，或者需要审计所有访问行为，可以按以下步骤调整：

1. 确认日志类型选项：回到“系统配置 > 日志”或“日志设置”页面，查看除了“Web安全日志”外，是否还有 “访问日志” 或 “全量日志” 的独立开关。单独开启“访问日志”。

2. 检查日志级别：部分WAF的日志有级别之分（如信息、警告、错误）。如果只勾选了“警告”及以上级别，普通的放行请求（信息级）就不会被记录。尝试将日志级别调低。

3. 确认防护功能已开启：有文档指出，如果所有防护功能都处于关闭状态，WAF可能仅作为透明转发，不生成任何日志。请确保至少Web基础防护等核心功能是开启的。

4. 检查日志存储与筛选：确认日志没有因为存储空间已满而被覆盖或停止写入。同时，检查你查看日志时的时间筛选范围是否正确，有时日志可能已经生成，只是被默认的筛选条件过滤掉了。

1. 攻击防护日志：必须有攻击命中规则才会产生，正常网页访问不会输出；
2. 普通用户访问日志：默认关闭，需要单独开启访问日志开关，和全局日志采集是两套配置；
3. 只勾选全局日志采集不等于 WAF 会输出日志，WAF 配置文件内部也需要开启日志动作。

是的 

H3C WAF：不是必须有攻击才可以看到日志H3C

日志采集勾选只是全局总开关，攻击日志（应用防护日志）只有发生攻击才产生；正常访问流量需要单独开启「访问日志」才会记录正常访问记录H3C。

两种日志区别

1. 防护 / 攻击日志（应用防护日志） 仅当流量命中 WAF 攻击规则（注入、XSS、CC、恶意扫描等）才生成，没有攻击，这个页面就是空的H3C。
2. 访问日志（记录普通正常 HTTP/HTTPS 访问）

• 记录正常用户访问：源 IP、URL、响应码、访问时间等，无攻击也会生成日志，用来验证流量是否真的经过 WAFH3C。
• 默认关闭！ 就算你勾选了 “日志采集总开关”，访问日志依旧不会自动打开，需要两处开启： 1）系统→高级参数→日志参数：打开【启用访问日志】全局开关H3C； 2）编辑对应的防护资产站点 →访问日志标签页，开启该站点的访问日志记录H3C。

常见现象：日志采集已经勾选，但看不到任何日志

1. 打开「防护日志」是空：代表当前没有流量触发攻击规则，属于正常现象，不是配置故障。
2. 想看正常流量，去看【访问日志】菜单，若依旧为空：
   • 确认上面两处访问日志开关全部打开；
   • 确认业务流量双向经过 WAF 设备；流量不经过 WAF，什么日志都不会生成。

小提示

访问日志会产生大量日志，消耗硬盘和性能，业务环境不建议长期开启，排查问题时临时打开即可。

验证 WAF 是否生效：开启访问日志，访问业务，如果访问日志页面出现记录，说明流量已经过 WAF；没有日志说明流量旁路 / 未经过设备，和有没有攻击无关H3C。

快速排查清单

• ✅ 全局日志采集勾选（你已经做了）
• ✅ 系统高级参数开启【启用访问日志】
• ✅ 对应防护资产站点，开启访问日志
• ✅ 业务双向流量经过 WAF 代理
• 📄「防护日志」只看攻击事件；📄「访问日志」看普通访问