WAF 在 API 场景能做什么
WAF 在 API 场景的定位是辅助识别，而不是承担鉴权：它能发现未携带令牌的访问、鉴权接口被高频尝试、请求格式异常等模式，并施加挑战或限速。真正的鉴权与授权必须在 API 网关或应用层实现，因为只有应用知道这个令牌属于谁、能访问哪些对象。把 WAF 当鉴权层，越权与令牌泄露问题一个也挡不住。
基本信息
| 辅助检测 | 缺失令牌、鉴权失败率突增、令牌格式异常 |
|---|---|
| 防护动作 | 挑战、限速、告警，通常不做业务级阻断 |
| 根因归属 | 鉴权与授权由 API 网关或应用实现 |
| 限速维度 | 按账号或令牌比按 IP 更准确 |
| 日志要求 | 记录来源、令牌标识（脱敏）与判定结果 |
| 配合机制 | 令牌有效期与吊销由应用侧保证 |
典型使用场景
- 对外开放的 API 接口遭遇批量撞库或参数枚举
- 令牌签发接口被高频尝试
- 发现大量未携带令牌的探测请求
- 新 API 上线前评估防护覆盖情况
- 与 API 网关协同，把 WAF 作为外层减速带
配置要点
配置要点
1. 对需要鉴权的路径检测是否携带令牌 # 基础校验
2. 鉴权失败率突增时告警，而非直接封禁 # 避免误伤
3. 对令牌签发与登录接口做频率限制 # 减速带
4. 结合日志分析异常调用来源与调用模式 # 分析
5. 与 API 网关的限速与鉴权策略保持口径一致 # 协同WAF 能做与不能做
| 问题 | WAF 能否解决 |
|---|---|
| 无令牌访问 | 能检测并施加挑战 |
| 令牌爆破 | 能限速与告警 |
| 令牌泄露后被正常使用 | 难以识别，需应用侧过期与吊销机制 |
| 越权访问他人数据 | 不能，属应用层授权问题 |
| 接口参数注入类攻击 | 能识别常见模式，仍需应用侧校验 |
令牌泄露场景 WAF 很难识别：请求格式完全合法，只能靠应用侧的短期有效期与吊销机制解决。
限速只按 IP 在共享出口场景会大面积误伤：优先按账号或令牌维度限速，并为重要调用方设置例外。