美国服务器防护与浏览器兼容性说明
总体结论
没有任何服务器侧安全方案能在所有浏览器上实现100%一致的拦截效果。以企业常用的Microsoft Defender for Endpoint为例，其Web 保护由SmartScreen与网络保护共同提供：在Windows上，Microsoft Edge依赖 SmartScreen，Chrome/Firefox等非 Microsoft 浏览器依赖网络保护；在macOS/Linux上，Edge 仅整合 Web 威胁防护，仍需网络保护配合。这意味着不同浏览器、不同操作系统上的覆盖能力与拦截粒度存在差异。
不同浏览器与系统的差异
| 场景 | 覆盖与能力 | 关键前提/限制 |
|---|
| Windows + Microsoft Edge | 由SmartScreen直接拦截 Web 威胁与钓鱼 | 需启用 SmartScreen；网络保护在 Windows 上对 Edge 不生效 |
| Windows + Chrome/Firefox | 由网络保护在系统层拦截 HTTP/HTTPS | 需将网络保护设为阻断模式；在 Chrome 中需关闭QUIC与Encrypted ClientHello；在 Firefox 中需关闭Encrypted ClientHello与HTTP/3（network.http.http3.enable） |
| macOS/Linux + Microsoft Edge | 仅整合Web 威胁防护 | 仍需在系统层启用网络保护以覆盖非 Edge 浏览器/进程 |
| 跨浏览器/进程一致拦截 | 支持对HTTP URL（含完整路径）统一阻断；对HTTPS FQDN在非 Edge 浏览器需额外配置 | 对HTTP/2 合并加载的 FQDN仅 Edge 可阻断；网络保护可阻断所有端口连接；新增/变更自定义指示器最多有2 小时生效延迟 |
以上差异意味着：若未对非 Microsoft 浏览器做相应配置（如关闭 QUIC/ECH），或浏览器/系统不在支持范围内，拦截效果会与 Edge 不一致。
常见限制与注意事项
- 协议与端口：支持TCP/HTTP/HTTPS（TLS）的IP 地址拦截，但自定义指示器仅支持单个 IP（不支持CIDR范围）；可阻断所有端口而非仅 80/443。
- 生效延迟：新增或修改自定义指示器后，客户端最多可能需要2 小时同步并生效。
- 策略优先级：当自定义指示器/网络威胁/WCF/Cloud Apps策略冲突时，存在明确的优先级与覆盖规则（例如“允许”可覆盖“阻断”等场景）。
- 功能边界：Web 内容过滤不支持非浏览器进程；在Windows上，网络保护不监控Microsoft Edge；在macOS/Linux上，Edge 仅提供Web 威胁防护能力。
部署与兼容性配置建议
- 明确浏览器支持矩阵：至少覆盖Edge/Chrome/Firefox的受支持版本，并为Windows、macOS、Linux分别验证。
- 非 Microsoft 浏览器必做配置：在Chrome中设置QuicAllowed=false、EncryptedClientHelloEnabled=false；在Firefox中设置network.http.http3.enable=false并关闭Encrypted ClientHello，以确保网络保护可对HTTPS FQDN生效。
- 统一启用与验证：在Intune/SCCM/组策略/MDM中将网络保护设为阻断模式并开启实时保护；在 Edge 中启用SmartScreen；通过Microsoft Defender 门户 > 报表 > Web 保护核查拦截效果与事件。
- 规划变更窗口：对自定义指示器的发布与调整预留最多 2 小时的生效时间，并在上线前进行小范围灰度验证。
