Web 应用防火墙（WAF）会检查网站收发的 HTTP 流量，并根据规则允许、质询或拦截请求。它可以减少网站面对部分常见攻击和滥用流量的风险，但不能取代安全开发、软件更新、访问控制、备份或事故响应。
要点
- 选择符合托管和网络架构的 WAF 部署位置。
- 确认服务会代理流量、监控流量，还是只提供规则。
- 测试表单、登录、API、结账和系统整合，检查是否误拦正常请求。
- 保护源站，并保留独立的应用安全控制。
- 指定负责人检查警报、规则、例外和安全事故。
WAF 在请求流程中的位置
WAF 会对网页请求应用安全规则。视乎产品，它可能部署在云代理、托管或网络层，也可能在应用程序内运行。云代理能在请求到达源站前进行检查；托管层或应用层 WAF 则离网站更近。部署位置会影响可检查的流量、加密处理、服务中断时的情况，以及由谁维护。
有些服务提供针对已知攻击模式的托管规则集，另一些则允许管理员针对路径、请求频率、国家或其他条件建立自订规则。这些控制有助筛选流量，但任何规则集都无法识别所有恶意请求，也无法理解每种业务流程。
WAF 的能力与限制
WAF 可以拦截或质询符合设定规则的请求，也可能限制部分自动化流量，并提供调查日志。实际作用取决于部署位置、配置、覆盖范围和持续检查。
WAF 无法修补有漏洞的插件、不安全的应用代码、弱密码、泄露的凭证或遭入侵的管理员账号。它也不保证能防止拒绝服务攻击、资料遗失、欺诈或服务中断。仍需维护软件、实施最小权限、启用多重身份验证，并准备备份和恢复流程。
选择适合的部署方式
启用 WAF 前，先绘制访客到应用程序的流量路径：DNS、CDN 或代理、负载平衡器、托管、Web 服务器和应用程序。找出会直接连接源站的整合服务。使用代理时，应与托管商讨论如何阻止未经 WAF 检查的直接源站访问，同时保留合法的监控、电邮或部署服务。
确认由谁处理 TLS、日志储存在何处、流量在哪些地点处理、服务商如何响应事故，以及服务限制和额外费用。明确服务由托管商、内部团队还是另一家供应商管理，并记录账号所有权和付款责任。
谨慎配置和测试
如果服务支持，先从监控或只记录日志的模式开始。查看哪些请求会被拦截，按照实际网站调整规则，再分阶段启用拦截。测试常见流程和较少见但合理的流程，包括联系表单、档案上传、账号访问、API、付款回调、搜索和整合服务，并检查电脑和手机上的体验。
误拦请求可能令顾客无法完成操作。应设立流程检查被拦请求，并在有依据时添加范围有限的例外规则。不要建立过于宽泛的允许规则，以致关闭整个网站的保护。记录规则变更和回退方式。
持续管理 WAF
指定人员检查安全警报和服务商通知。网站、整合服务或流量模式改变时，重新测试规则。确认日志可用于调查，并按照组织要求保留。将 WAF 纳入事故响应和恢复演练。
对小型组织而言，托管商或网络供应商提供的代管 WAF 可能比独立平台更容易操作。规模较大或结构复杂的网站，可能需要自订规则、专人监控和明确的升级流程。比较实际服务与责任，不要只看产品名称。
常见问题
WAF 能让网站绝对安全吗？
没有单一控制能保证网站安全。WAF 可以成为其中一层，也需要配合更新、安全代码、访问控制、监控和经过测试的备份。
WAF 能拦截所有攻击吗？
不能。它只能对能够检查的流量应用规则。规则可能漏掉攻击，也可能误拦正常请求，因此仍要保留其他控制和事故计划。
每个 WordPress 网站都需要 WAF 吗？
应根据网站对业务的影响、托管功能、网站复杂度和管理能力决定。增加另一层防护前，先确认托管商已经提供哪些功能。
如需持续更新和恢复规划，可参阅网站维护服务。
来源与审阅说明
审阅日期：2026 年 10 月 20 日。WAF 的能力因服务商和设置而异。部署前应查看最新产品文件、日志和资料处理条款、服务限制及事故流程，并使用网站的真实流量和整合服务进行测试。