普通防火墙放行80端口，通防不代表HTTP请求就安全。火墙WAF（Web应用防火墙）要拆开每一个HTTP请求，区别看里面装的通防是什么。这是火墙两者最根本的分界线——一个管门，一个管门里进出的区别人有没有带刀。

我拿一个真实场景说。通防某电商网站前面部署了普通防火墙，火墙规则写得很清楚：只开放443端口，区别其他全部拒绝。通防看起来够严了。火墙但攻击者在URL里塞一段?区别id=1' UNION SELECT username,password FROM users--，这个请求走的通防是443端口，防火墙一看端口对，火墙直接放行。区别数据库被拖走。普通防火墙工作在第3、4层，它看的是IP、端口、协议，HTTP请求对它来说就是一堆加密或未加密的数据包，里面是什么内容，它不关心，也看不懂。

WAF不一样。它工作在应用层，把HTTP请求完整还原出来，解析URL、Header、Body、Cookie。同样是上面那条SQL注入语句，WAF会匹配到UNION SELECT这个特征，直接拦截。它还能识别XSS跨站脚本、文件包含、命令注入、CC攻击等。普通防火墙拦的是“谁能进来”，WAF拦的是“进来的人想干什么”。

部署位置也能说明问题。普通防火墙通常串在网络边界，作为网关存在，所有流量必经之路。WAF可以串接，也可以旁路部署——旁路模式下它只做检测和告警，不直接阻断，适合先观察再上规则。云WAF更典型，通过DNS解析把流量牵引到清洗中心，源站IP根本不暴露。这种灵活性普通防火墙做不到。

性能逻辑完全不同。普通防火墙追求吞吐量和并发连接数，硬件参数动辄几十Gbps。WAF要做深度包检测，每个请求都要解析和匹配规则，性能开销大得多。所以WAF通常不会全量代理所有流量，图片、CSS、JS这些静态资源往往直接放行，只检测动态请求。我见过有人把WAF规则设得太严，结果正常用户的搜索关键词被误拦，投诉电话打爆运维。规则调优是WAF最耗精力的部分，普通防火墙的ACL规则反而简单直接。

另一个容易被忽略的点：普通防火墙对加密流量基本无能为力。HTTPS普及之后，攻击流量全藏在TLS隧道里，防火墙只能看到SNI字段。WAF要检测内容，必须在某处做TLS终止——要么在WAF上卸载证书，要么在负载均衡上卸载后把明文流量送给WAF。这意味着WAF的部署会改变证书管理的拓扑，不是加一台设备那么简单。

两者不是替代关系。普通防火墙做粗粒度隔离，把数据库端口、管理端口从公网彻底封死，这是WAF替代不了的。WAF做细粒度内容检测，挡住SQL注入和XSS，普通防火墙也干不了。实际架构里，流量先过防火墙，再过WAF，最后到应用。缺了防火墙，WAF要直接面对全网扫描和端口爆破；缺了WAF，防火墙对应用层攻击形同虚设。

选型时别被参数忽悠。普通防火墙看吞吐、并发、新建连接速率。WAF看规则库更新频率、误报率、对业务编码的兼容性。一个处理JSON API的WAF和一个处理传统表单的WAF，规则集差异很大。买之前拿真实业务流量跑一周，看误报和漏报，比看任何白皮书都管用。