Safe3 Web：一个被低估的老兵

第一次在客户机房看到Safe3 Web的界面，我差点以为这是一款2010年就停止维护的软件。灰蓝色的边框，宋体字菜单，按钮没有圆角也没有阴影。但它确实在跑，而且拦住了一次SQL注入——日志里清清楚楚记着攻击IP和payload。

这款国产WAF（Web应用防火墙）的定位很明确：给中小企业和政府基层单位用。它不追求云原生、不吹AI检测，安装包不到50MB，Windows Server 2003都能跑。我见过一个区级政务系统，服务器是台老戴尔，内存4GB，上面挂着Safe3 Web，跑了三年没重启过。

它到底怎么干活

Safe3 Web的检测逻辑偏传统。规则库匹配为主，辅以简单的行为分析。你打开它的配置界面，能看到一长串正则表达式，针对SQL注入、XSS、文件包含这些常见攻击。每条规则可以单独开关，也能调优先级。这种设计的好处是透明——误报了，你知道是哪条规则触发的，改就是了。

坏处也明显。规则库更新慢，遇到新型攻击或者编码绕过，基本靠社区用户提交样本。官方论坛里有人抱怨过，某个Struts2漏洞的规则等了两周才加上。那两周里，他的服务器被扫了不知道多少次。

但话说回来，大部分中小网站根本遇不到0day。攻击者也是要算成本的，批量扫描工具扫到你就顺手打一下，打不动就换下一个。Safe3 Web对付这种“脚本小子”级别的攻击绰绰有余。

一个具体案例

去年帮一个做外贸的朋友看服务器。他的网站用的是某开源CMS，后台登录页每天被爆破几百次。装Safe3 Web之前，他靠改后台路径和加验证码硬扛。装完之后，我把规则里的“登录失败次数限制”打开，设成5次封IP一小时。第二天他给我发截图，封了37个IP，大部分来自境外VPS。

有意思的是，Safe3 Web的IP封禁不是永久的。默认封禁时间到了自动解封，除非你手动加黑名单。这个设计挺务实——动态IP用户多，永久封禁容易误伤。当然你也可以改成永久，看自己需求。

谁适合用，谁别碰

如果你运维的是日PV十万以上的电商或者金融系统，Safe3 Web不适合你。它的并发处理能力有限，规则库深度也不够。这种场景下，要么上商业WAF，要么用ModSecurity加自定义规则集。

但如果你管着几个企业官网、内部OA、或者区县级政务平台，服务器资源紧张，又不想花太多钱在安全上，Safe3 Web值得试试。它免费版功能就够用，付费版多了集群管理和报表导出。价格嘛，比一顿商务宴请便宜。

我自己的博客服务器上也装了一个。纯粹图个省心。它拦过几次扫描器，误报过两次——一次是把某个正常参数里的单引号当成了注入。我看了日志，把那条规则调成“仅记录不拦截”，问题解决。

一点个人看法

安全圈有种风气，言必称AI、机器学习、威胁情报。好像不用这些新技术，产品就落后了。但实际运维中，稳定、可控、看得懂，往往比“智能”更重要。Safe3 Web就像一把老式机械锁，结构简单，原理透明，你知道它什么时候会锁上，也知道钥匙怎么配。

它不完美。界面丑，文档少，社区不活跃。但它在干活。对于很多预算有限、技术力量薄弱的单位来说，有一个在干活的安全工具，比有一个“智能”但看不懂也调不动的黑盒要强。

下次如果有人问我推荐什么WAF，我会先问：你服务器什么配置，网站什么规模，有没有专职运维。答案不同，推荐不同。但Safe3 Web一定在我的推荐列表里，排在第几位，看情况。