WAF 和防火墙有什么区别，官网需要部署吗？

防火墙管网络层的端口和地址，WAF 管应用层的请求内容，两者防护的对象不同，不能互相替代。

防火墙工作在网络的第四层，根据源 IP、目标端口、协议类型决定是否放行。它能把不该对外开放的端口关掉，比如数据库的 3306、远程桌面的 3389，也能限制某些 IP 段的访问。但它看不出一个正常的 80 端口请求里是否藏着注入语句。

WAF 工作在应用层，解析 HTTP 请求的地址、参数、请求头和正文，按规则识别注入、跨站脚本、恶意文件上传、异常高频访问、已知的扫描器特征。它还能对表单提交做频率限制，减少机器人灌水。

是否需要部署，看站点有没有可写入口。有后台登录、表单提交、会员系统、文件上传的网站，被利用的面比较大，部署 WAF 的收益明显。纯静态展示页没有数据交互，风险主要在服务器本身，把系统补丁和密码管好，比上 WAF 更实际。

部署方式有两种：云 WAF 通过修改解析把流量引到防护节点，接入快、不用改服务器；软件 WAF 装在服务器上，成本低但会占用本机资源，且服务器被攻破时可能一起失效。

无论用哪种，都要看拦截日志。日志里能看到实际攻击的类型和来源，据此调整规则；长期没有拦截记录也不代表安全，可能是规则太松，或者流量根本没经过防护。