WAF是意思Web Application Firewall的缩写，中文叫Web应用防火墙。意思这东西说白了就是意思一道专门守着网站的门卫，只不过它盯的意思不是人，而是意思HTTP和HTTPS流量。你访问一个网站，意思浏览器发出的意思请求先到的可能不是服务器，而是意思WAF。它在那儿站着，意思把每个请求翻来覆去看一遍，意思觉得没问题才放行，意思觉得可疑就直接拦下。意思

我头一回认真接触WAF是意思在一个朋友的电商小站上。他那会儿刚上线没多久，意思后台天天被人扫，意思有人试着用SQL注入拖数据库，有人拿脚本批量试管理员密码。服务器日志里全是乱七八糟的请求，看着就头疼。后来他在前面挂了个开源的WAF，规则一配，那些明显的攻击流量基本进不来了。他说最直观的感受是日志干净了，晚上能睡踏实觉。

WAF到底怎么判断一个请求是好是坏？常见的手段有这么几种。一种是靠规则库，比如请求里带了 union select 这种SQL注入的典型片段，或者参数里塞了 <script> 标签想搞XSS，规则一匹配就直接拒绝。另一种是看行为特征，比如同一个IP在几秒内发了几百个请求，明显不是正常人在点页面，那就限速或者封掉。还有基于机器学习的WAF，它会学正常用户的访问模式，偏离太远的就报警或拦截。不过规则库那套最普遍，也最容易被绕过——攻击者把关键字拆开、编码、混淆，老规则就瞎了。

WAF分几种部署形态，这个挺影响实际效果的。云WAF最省事，把域名解析指过去就行，流量先过厂商的清洗中心。好处是不用自己维护，坏处是流量绕了一圈，延迟可能增加，而且有些敏感数据过第三方手里总让人不太放心。软件WAF装在服务器上，比如ModSecurity配Nginx，灵活但吃服务器性能，规则调不好还容易误杀正常用户。硬件WAF就是专门一台设备串在链路里，性能强，价格也贵，一般中大型企业才用。

有个事得说清楚，WAF不是万能的。它拦得住脚本小子的批量扫描，拦不住逻辑漏洞。比如有人利用你业务设计上的缺陷，用完全正常的请求把别人的优惠券领到自己账户里，WAF看着每个请求都合规，根本不会拦。再比如0day漏洞，规则还没更新，WAF也认不出来。所以WAF更像是一层过滤网，不是保险箱。代码该写的安全校验还得写，该做的权限控制不能省。

另外WAF的误杀问题挺烦人。规则太严，正常用户发个带特殊符号的评论就被拦了，体验很差。规则太松，又跟没装一样。调规则是个细活，得看日志、加白名单、慢慢磨。我见过有人图省事直接开最宽松模式，结果WAF基本成了摆设，攻击流量照样进。也见过开太严把搜索引擎爬虫全挡了，网站收录掉了一大截，得不偿失。

选WAF的时候别光看宣传页上写的拦截率99.9%那种数字。实际用起来，误报率、规则更新频率、日志可读性、能不能自定义规则，这些才决定它好不好用。小站用云WAF或者开源的够使，大站有合规要求或者定制需求，可能得考虑商业方案。说到底，WAF是安全体系里的一环，不是全部。把它当门卫用，别当保镖使。