池州老板选网站安全方案，常被销售一句"我们上了WAF"说得云里雾里。WAF就是网站防火墙，挡在访客和你的网站中间，把恶意请求拦下来。它有用，但不是买了它就万事大吉。把它的能力和边界讲清楚，钱才花得明白。

WAF防什么

WAF主要挡的是针对网站程序层的攻击：SQL注入、跨站脚本、恶意扫描、CC攻击这类把网站当靶子的流量。它在恶意请求抵达你的程序之前就过滤掉，相当于给网站加了一道安检门。对挂马、注入这类最常见的攻击手法，WAF确实能挡掉相当比例。但要说清边界：服务器本身被入侵（比如弱口令登录服务器）、内部人员泄露数据、程序的业务逻辑漏洞（比如优惠券被恶意套用），WAF基本管不着。

免费和付费方案

务实的选择路线：云服务商和部分安全厂商提供免费或低成本的WAF基础版，展示型官网用它足够，把常见攻击挡掉；业务含金量高、被攻击历史多的站点，付费WAF数百到数千元一年，规则库更新快、有定制策略、有攻防报表。选择前先看你的网站值多少：纯展示官网被打了顶多重启，损失可控；带会员、订单、支付的商城，被打一次的损失远超几年WAF的钱。

配了WAF不等于安全

安全是套组合拳，WAF只是其中一拳。口令强不强、程序有没有漏洞、备份在不在跑、服务器配置合不合规，这些基本面不做，WAF挡得住流量挡不住从别的门进来的贼。反过来，基本面做好再加WAF，防护效果是乘法不是加法。池州信服无限给客户做安全防护，从来是先查基本面再谈加设备，顺序颠倒就是花冤枉钱。

误拦的问题

WAF有个副作用要知道：可能误拦正常请求。客人提交带特殊字符的表单被拦、后台编辑器上传内容被拦，遇到这类反馈先查WAF拦截日志，加白名单规则就能解决。所以配WAF不是装完就走，头一个月要盯着日志调规则。自己没精力盯的，连同巡检一起托管出去。

总结：安检门有用，但门锁也得拧紧

WAF挡的是程序层攻击，展示网站用免费版，高价值业务上付费版；同时口令、补丁、备份、配置的基本功一天不能少。安全和健身一样，没有一劳永逸的器械，只有持续的习惯。

WAF的常见疑问

WAF多少钱？

免费基础版到付费数百至数千元一年，按防护等级。

装了WAF就安全？

不，口令补丁备份的基本面同样要做。

会误拦客人吗？

可能，头一个月盯日志调白名单规则。