WAF 能防什么？
WAF 主要保护 HTTP/HTTPS 应用，可识别 SQL 注入、跨站脚本、恶意扫描、异常参数和部分自动化请求。WAF 不等同于 DDoS 流量清洗，也不能替代应用修复、补丁更新和权限控制。
典型防护环节
- 梳理域名、证书、回源地址和关键业务路径。
- 先观察访问日志，再分阶段启用拦截规则。
- 对登录、上传、后台和 API 设置单独策略。
- 建立白名单、误报反馈和规则变更记录。
- 配合开发团队修复已确认的应用漏洞。
上线时需要关注
| 项目 | 检查内容 |
|---|---|
| HTTPS | 证书管理、协议版本与回源加密 |
| 真实访客 IP | 可信代理头、日志记录和应用获取方式 |
| 误报控制 | 观察模式、规则例外与回滚机制 |
| 源站保护 | 仅允许可信回源并减少源站信息泄露 |
适合哪些业务
企业官网、电商、内容平台、管理后台以及对外 API 均可结合业务风险使用 WAF。涉及复杂登录、支付或自定义协议时，应在接入前进行兼容性测试。
需要制定 WAF 规则？
从域名、关键路径和正常访问基线开始。