一个网站上线之后，用不了多久就能在日志里看到大量可疑请求：有人试探后台地址，有人往表单里塞奇怪的代码，还有人高频爬取数据。这些行为背后，绝大多数是自动化攻击工具在做扫描，一旦网站存在漏洞，攻击者就能通过SQL注入、跨站脚本等手段拿到数据库权限或者窃取用户信息。传统防火墙工作在网络层，只认IP和端口，对这种藏在正常HTTP请求里的攻击几乎无能为力，而这正是WAF防火墙存在的意义。
WAF防火墙是什么，它是怎么工作的
WAF全称是Web Application Firewall，也就是Web应用防火墙。它和传统防火墙最大的区别在于工作层级不同。传统防火墙像小区门卫，只检查进出人员的身份（IP地址和端口），至于这个人进门之后干什么，它管不着。WAF则像贴身保镖，它会拆开每一个HTTP/HTTPS请求，仔细检查里面的URL、请求头、Cookie、表单参数和请求体，判断这些内容是否包含攻击特征或者异常行为。
举个例子，正常用户在搜索框输入商品名称，请求参数就是普通文字。而攻击者可能会在搜索框里输入一段SQL语句，比如尝试用单引号和or条件绕过登录验证。WAF拿到这个请求后，会先做规则匹配，发现参数里出现了典型的SQL注入特征，直接把请求拦截，网站服务器根本不会收到这条恶意请求。
WAF的检测手段主要有三类：一是基于签名规则，维护一个庞大的攻击特征库，请求命中特征就拦截，这是最主流的方式；二是基于行为分析，通过机器学习建立正常流量的基线，偏离基线太多的请求会被标记；三是基于语义分析，理解参数的上下文含义，识别经过混淆、变形的攻击代码，弥补纯规则匹配容易被绕过的缺陷。
WAF能防住哪些常见攻击
WAF的防护范围基本覆盖了OWASP（开放式Web应用安全项目）公布的十大Web安全风险。最核心的几类包括：SQL注入攻击，防止攻击者通过构造恶意SQL语句窃取或篡改数据库数据；XSS跨站脚本攻击，防止恶意脚本被注入页面后在访问者浏览器中执行，窃取Cookie或会话信息。
除此之外，WAF还能有效应对CC攻击和爬虫滥用。CC攻击的原理是用大量看似正常的请求把服务器资源耗尽，导致真实用户无法访问。WAF可以通过频率限制、人机验证（比如弹验证码）、JS质询等方式识别出机器流量并加以限制。对于文件上传漏洞、命令注入、目录遍历、XML外部实体注入等攻击手法，成熟的WAF产品也都有对应的检测规则。
需要强调的是，WAF不是万能的。它主要拦请求层面的攻击，如果网站本身存在越权漏洞（比如普通用户能通过修改URL里的ID查看别人的订单），这类逻辑层面的漏洞WAF很难自动识别，还是需要在代码层面做好权限校验。安全防护是纵深防御体系，WAF是其中重要一环，但不能替代代码审计和漏洞修复。
WAF的几种部署方式对比
不同规模的网站适合不同的部署方式，选错了要么浪费成本，要么防护不到位。目前主流的部署方式有下面几种，各有优劣：
| 部署方式 | 特点 | 适合场景 |
|---|---|---|
| 透明代理（桥接） | 串联在网络链路中，无需改动服务器配置，延迟最低 | 自建机房、对延迟敏感的业务 |
| 反向代理 | WAF作为代理服务器接管流量，可隐藏源站IP，配置灵活 | 大多数企业网站、电商站 |
| 云WAF（SaaS） | 通过修改DNS解析接入，无需硬件投入，开通即用 | 中小企业、个人站长、快速上线需求 |
| 软件WAF | 安装在服务器上（如开源的ModSecurity、宝塔WAF），成本低 | 云服务器用户、预算有限的团队 |
从实际使用体验看，云WAF是近几年增长最快的形态，因为接入门槛极低：把域名解析改一下，流量就会先经过云端WAF清洗，干净的请求再转发给源站。硬件WAF则更多见于金融、政务等对数据合规要求高、需要本地化部署的场景。开源软件WAF适合技术团队自己折腾，ModSecurity配合OWASP CRS规则集，防护能力不输商业产品的入门档位，缺点是规则调优需要花时间。
选购WAF时应该关注哪些指标
市面上的WAF产品很多，从免费的到一年几十万的都有，挑选时可以从这几个维度去衡量。第一是检测能力和规则更新速度，攻击手法天天在变，规则库更新是否及时、能否拦截变形攻击，直接决定防护效果，最好要求厂商提供测试环境，用真实攻击样本做验证。
第二是误报率。规则太严会把正常请求也拦掉，比如用户在评论里写了一句包含select的英文句子就被拦截，这种误报会直接影响业务。优秀的WAF应该支持精细化的规则调优，能针对特定URL、特定参数设置白名单。第三是性能指标，包括吞吐量、并发连接数和新增延迟，一般WAF引入的延迟应控制在几十毫秒以内。
第四看配套能力，包括日志审计、攻击报表、实时告警、与SLB及CDN的兼容性等。日志非常重要，被攻击后能否快速回溯、分析攻击路径，全靠日志记录是否完整。最后还要考虑价格模型，有的按带宽计费，有的按域名数量计费，有的按请求量计费，结合自己网站的流量特征算一下长期成本再决定。
写在最后
网站安全这件事，出事之前总觉得没必要投入，出事之后再补救往往代价惨重。数据被拖库、页面被篡改挂马、被搜索引擎标记为危险站点，任何一项对业务的打击都是实打实的。WAF作为Web层的第一道主动防线，投入产出比其实相当高，尤其是云WAF，一年几百到几千块的成本就能挡住绝大多数自动化攻击扫描。
如果预算实在紧张，至少可以先用开源方案顶上：ModSecurity、宝塔免费WAF或者一些云厂商提供的免费基础防护，都比裸奔强得多。安全防护的本质是提高攻击者的成本，让对方的扫描工具在你这里碰壁，转而去寻找更容易下手的目标。