是什么
Web 应用防火墙以反向代理方式清洗进入应用的超文本传输协议流量，拦截注入、跨站脚本与自动化攻击。三家产品同名，接入方式与规则术语差异不大：把域名解析指向防护地址，或在负载均衡层接入。关键动作是接入之后把源站收口，只允许防护节点的回源地址访问，否则攻击者可以绕过防护直接打源站。
对照表
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 产品名 | Web 应用防火墙 | Web 应用防火墙 | Web 应用防火墙 |
| 接入方式 | 域名接入与透明接入 | 域名接入与负载均衡接入 | 域名接入与独享模式 |
| 防护规则 | Web 攻击、频率控制、爬虫管理 | Web 攻击、频率控制、爬虫管理 | Web 攻击、频率控制、反爬 |
| 计费 | 按版本、域名与流量 | 按套餐与域名 | 按版本与域名 |
| 日志 | 攻击日志与访问日志 | 攻击日志与访问日志 | 攻击日志与访问日志 |
典型使用场景
- 对外网站上线：先接入防护再开放公网访问，避免裸奔
- 频繁被扫描：用频率控制压住自动化探测与撞库请求
- 活动保障：活动前调整规则与限速策略，防止恶意刷量
- 合规要求：满足行业对 Web 层防护能力的基本要求
- 日志取证：保留攻击日志，用于事后分析与责任界定
接入与调优要点
| 源站收口 | 只放行防护回源地址，关闭源站对公网的直接开放 |
|---|---|
| 观察期 | 新规则先以观察模式运行，确认不误拦正常请求再开启阻断 |
| 误拦排查 | 出现异常拦截时先看命中规则，再调整白名单而不是整体关防护 |
| 回源地址 | 回源来源地址变化时及时更新源站白名单，避免服务不可用 |
| 性能 | 防护层会增加一次转发，压测时要按接入后的链路评估 |
新接入时保持观察模式一段时间是必要的成本：规则命中记录能帮你识别正常业务里哪些请求长得像攻击，直接开阻断很容易把登录或上传接口拦掉。
源站仍对公网直接开放时，防护形同虚设：攻击者拿到源站地址后可以绕过防护直接打，同时也会让访问日志里看不到真实攻击量。