一、两者的分工：门卫 vs 安检员

WAF 补的正是这块短板：攻击者用 80/443 端口进来，走的是完全合法的通道，传统防火墙只能放行；WAF 则把请求拆开看，判断里面有没有恶意内容。

二、三种检测机制，各管一段

1. 签名检测（规则匹配）：把已知攻击的特征做成规则，对每个请求做模式匹配，命中就阻断。对已知攻击识别率高、速度快，缺点是遇到变形或新手法容易漏。
2. 行为异常检测：先学习正常访问模式建立基线，偏离就告警或拦截。典型场景是短时间大量提交表单、频繁尝试登录——这正是撞库和刷接口的特征。
3. 语义分析与机器学习：语义引擎理解请求的语法和上下文，能识别经过编码混淆的攻击载荷；机器学习持续从流量里学，优化策略，提升对新型攻击的覆盖。

三者不是替代关系。只用规则会被变形绕过，只用行为分析误报又高，实际产品基本是叠加使用。

三、它到底挡住了什么

四、选型看三件事，别只看参数表

部署形态：硬件性能强，适合大型数据中心；软件部署灵活，适合虚拟化环境；云 WAF 免本地维护、按需订阅，中小企业最省事。

检出率与误报率：这两个指标必须一起看。误报高会拦掉正常业务，漏报等于没装。建议实测量两件事——规则库更新频率、实际检测精度。

运维与扩展：管理界面是否直观、日志能否分析、策略能否灵活定制；业务增长时能否集群部署、横向扩容。

最后一句提醒：WAF 挡的是"请求层面的攻击"，挡不住弱口令、挡不住业务逻辑漏洞（比如下单价格能被改）。把它当成安全体系的一环，而不是买完就万事大吉的保险。