如图所示，在免费版ESA中设置WAF规则，可选项只有主机名、客户端IP、省份以及完整文件名，其它选项为灰色不可选择状态，并配了升级至付费版字样的链接。本文介绍如何设置可以达到使用付费规则的效果。
以本站为例，本站是WordPress站点，为安全起见需要设置禁止文件扩展名为php的路径访问
首先创建白名单规则：如果请求匹配文件扩展名不等于php，则跳过自定义规则
然后创建自定义规则：如果请求匹配主机名不等于www.example.com，则拦截
注意：以上主机名不要填写站点主机名，除了站点主机名可任意填写，例如 a.com b.com …
由于白名单规则权重高于所有其它规则，自定义规则由于设置了不存在的主机名，也就是所有访问都会被拦截，但白名单又将PHP以外的访问通过白名单，通过以上两条规则搭配使用就实现了免费版无法使用的按文件扩展名进行拦截的WAF规则。