🤔 写在前面
2020年 我参加公司的安全技能大赛，队友在实操环节启用了 WAF 防火墙，这是我第一次接触到 Web 应用防火墙。作为一个 Web 开发老鸟，真是羞愧呀😂。
🔐 Web应用防火墙
WAF 全称是 Web Application Firewall（Web 应用防火墙），简单说就是专门保护网站和 Web 应用的"安全门卫"。
为什么需要 WAF？
我们平时用的网站、APP（比如电商平台、网银、社交软件）本质上都是 Web 应用，它们通过网页或接口和用户交互。但这些应用可能存在漏洞（比如常见的 SQL 注入、XSS 跨站脚本攻击），黑客会利用漏洞偷数据、篡改内容甚至瘫痪网站。
WAF 就像在用户和 Web 应用之间加了一道"过滤门"，所有访问网站的请求都要先经过它检查，把可疑的、有攻击性的请求拦下来，只让正常请求通过。
WAF 具体能做什么？
-
拦截常见攻击
比如黑客试图通过输入特殊代码（如
' or 1=1 --）非法登录数据库（SQL 注入），或者在评论区插入恶意脚本（XSS）窃取其他用户信息，WAF 能识别这些攻击特征并直接阻断。 -
过滤异常请求
如果有人短时间内疯狂刷新页面（可能是恶意刷单或 DDoS 攻击的一部分），WAF 会识别这种"异常流量"，限制其访问频率。
-
保护敏感信息
防止网站在返回数据时泄露密码、身份证号等敏感内容（比如开发者不小心把数据库密码写在代码里，WAF 可以拦截这类信息的输出）。
-
定制防护规则
不同网站有不同需求，比如电商网站需要保护支付接口，论坛需要防范垃圾评论，WAF 可以让管理员自定义规则，精准防护。
举个生活例子理解 WAF
把 Web 应用比作一家商店：
- 顾客（正常用户）需要进店购物，店员（Web 应用）提供服务；
- 小偷（黑客）想进店偷东西或搞破坏；
- WAF 就像商店门口的保安，会检查每个进店的人：
- 正常顾客（合规请求）顺利进店；
- 带着工具（攻击代码）的小偷（恶意请求）被拦在门外。
总的来说，WAF 是 Web 应用的"安全守护神"，通过检查和过滤网络请求，阻挡黑客攻击，保护网站数据安全和正常运行。无论是大型电商平台还是个人博客，只要有 Web 应用，就可能需要 WAF 来保驾护航。
🧑💻开源 WAF
雷池WAF社区版
雷池WAF（SafeLine，中文名 "雷池"，是一款简单好用, 效果突出的 Web 应用防火墙(WAF)，可以保护 Web 服务不受黑客攻击，开发语言是 Go。
最新官方帮助文档：https://help.waf-ce.chaitin.cn。
运行界面（商业版）非常酷炫，给人一种稳重靠谱的感觉（真不是广😂），请自行体会。
老牌劲旅：ModSecurity
ModSecurity 是一款适用于 Apache、IIS 和 Nginx （早年只适用于 Apache，2.X 重构后也可支持 IIS 和 Nginx）的开源跨平台 Web 应用程序防火墙 (WAF) 引擎。它拥有强大的基于事件的编程语言，可以防御各种针对 Web 应用程序的攻击，并支持 HTTP 流量监控、日志记录和实时分析。
它是目前实用最广泛的开源 WAF，实用 C++ 开发。
高性能引擎：Coraza
一个开源、高性能的 WAF 引擎，使用 Go 语言编写，支持 ModSecurity SecLang 规则集，并且与 OWASP 核心规则集完全兼容。和 ModSecurity 一样，它不提供界面，只作为检测引擎，需要二次开发，有机会成为 ModSecurity 的替代品。
云原生：JXWAF
JXWAF 是一款云Web应用防火墙，可对Web应用流量进行分析检测，清洗过滤恶意流量后将正常流量返回给业务服务器，保障Web业务正常运行。使用 Python 开发，目前文档还比较简陋。
Nginx插件：VeryNginx
VeryNginx 与 Nginx 深度集成的 WAF 扩展程序，是为数不多提供了控制台的 WAF 项目。其规则部分依赖第三方库，在 GitHub 上有 5900 颗 star，但项目年久失修（最新版本 16 年 8 月发布😂），规则库多年未更新，基本停止维护。
