WAF（Web 应用防火墙）

WAF（Web Application Firewall，Web 应用防火墙）是一种专门保护网站和 Web 应用的安全产品，它部署在用户与网站服务器之间，检查每一个 HTTP/HTTPS 请求，发现恶意流量就直接拦截。

概述

传统防火墙工作在网络层，主要按 IP 和端口放行或阻断流量，但它看不懂请求的具体内容。而如今大量攻击恰恰藏在看似正常的网页请求里，比如在表单中夹带 SQL 注入语句、在参数里插入恶意脚本。WAF 的价值就在于它工作在应用层，能解析并理解 HTTP 请求的每个细节，从而识别这类攻击。

WAF 的检测方式通常包括规则匹配和行为分析两类：前者依靠不断更新的攻击特征库比对请求内容；后者通过分析访问频率、请求模式等发现异常，例如识别恶意爬虫和 CC 攻击。不少产品还结合机器学习来减少误判、发现新型攻击。

核心功能

• 拦截 SQL 注入、XSS（跨站脚本）、命令注入、文件上传漏洞利用等常见 Web 攻击
• 防御 CC 攻击，通过人机验证、频率限制缓解应用层洪水请求
• 恶意爬虫与扫描器识别，保护数据不被批量抓取
• 虚拟补丁：在网站代码漏洞修复前先在流量层面挡住利用行为
• 访问控制与黑白名单，按地区、IP 段等维度限制访问
• 攻击日志与报表，便于安全审计和溯源

常见形态

WAF 主要有三种形态：云 WAF通过修改 DNS 解析把流量牵引到云端清洗，接入简单，是目前中小网站的主流选择，代表如 Cloudflare、阿里云 WAF；硬件 WAF是部署在机房的独立设备，常见于对合规要求高的企业；软件 WAF安装在服务器上，如开源的 ModSecurity 以及宝塔面板自带的防护模块。

常见问题

问：有了传统防火墙还需要 WAF 吗？答：需要。传统防火墙管的是网络层，无法识别藏在正常 HTTP 请求里的应用层攻击，两者是互补关系而非替代关系。

问：WAF 能防住所有攻击吗？答：不能。WAF 主要针对 Web 应用层攻击，对业务逻辑漏洞、弱密码、内部越权等问题作用有限，仍需配合代码审计、及时打补丁等措施。

问：WAF 会不会误拦正常用户？答：可能会，规则过严时正常提交也可能被拦截（误报）。多数 WAF 支持观察模式和自定义白名单，上线初期建议先观察再逐步收紧策略。