waf是什么意思历史

1999年，意思一个叫王志涛的历史中国人写下了一段代码。这段代码后来被命名为"ModSecurity"，意思成了全球第一款开源的历史Web应用防火墙（WAF）内核。那时候没人觉得这东西有多重要——毕竟，意思互联网对大多数中国人来说还是历史个拨号上网看新闻的稀罕玩意儿。

但王志涛的意思动机很朴素：他管理的服务器老被扫描、被注入，历史烦透了。意思与其天天打补丁，历史不如在应用前面竖一道墙。意思这道墙不拦人，历史只拦"恶意请求"。意思这就是历史WAF最初的形态——一个会检查HTTP请求的过滤器。

WAF的意思全称是Web Application Firewall，翻译过来就是"Web应用防火墙"。名字里带"防火墙"，但它跟传统的网络防火墙完全是两码事。传统防火墙管的是网络层——哪些IP能进、哪些端口能通；WAF管的是应用层——你提交的这段SQL语句是不是想删我的表？你上传的这个文件是不是藏了木马？

早期WAF都是基于规则的。规则库像一本厚厚的犯罪记录册，写着各种已知攻击的特征。比如URL里出现"../"就可能是目录穿越，POST参数里出现"union select"就可能是SQL注入。规则匹配到就拦截，匹配不到就放行。这套逻辑在2000年代初期够用，因为攻击手法就那么几板斧。

转折发生在2007年。那年AWS推出了云WAF的雏形，但真正引爆市场的是2010年后的几次大规模数据泄露事件。索尼被黑、LinkedIn密码泄露、Adobe用户数据被盗——这些事故让企业发现，光有网络防火墙和入侵检测远远不够，应用层的漏洞才是重灾区。WAF从"可选项"变成了"合规项"——支付卡行业数据安全标准（PCI DSS）直接要求所有处理信用卡信息的网站必须部署WAF。

但规则库模式很快露出疲态。攻击者开始用编码绕过、分块传输、参数污染这些手法骗过规则。规则越加越长，误报率也越来越高——有时候正常用户输入一句带引号的话就被拦了，气得用户骂娘。

真正的革命发生在2016年前后。机器学习开始被塞进WAF里。不再是死板的规则匹配，而是让算法自己学习"什么是正常流量"。你的网站平时90%的请求都来自同一个浏览器指纹、同一个地理区域，突然冒出一个从乌克兰发来的、带着奇怪User-Agent的POST请求——算法会把它标记为异常。这种基于行为分析的WAF，把攻击检测率提升到了99%以上，误报率却降到了1%以下。

到了2020年代，WAF又变了味。云厂商开始把WAF和CDN、DDoS防护打包成"边缘安全"服务。你不需要再单独买一台WAF设备，在Cloudflare或者阿里云的控制台上点几下，全球几百个边缘节点就同时帮你挡攻击了。延迟几乎为零，因为检测发生在离用户最近的节点上。

现在你问我WAF是什么？它早就不只是一个软件或硬件了。它是规则引擎、是机器学习模型、是边缘计算节点、是API网关里的一个插件。但本质没变——它就是那个站在Web应用门口，帮你挡掉恶意请求的保安。

只不过这个保安现在会自己学习了，会跟其他保安互通情报了，甚至会在攻击者还没动手之前就预判他的动作。但有意思的是，攻击者也在进化——他们开始用AI生成绕过WAF的payload，用分布式代理池伪装正常流量。这场猫鼠游戏，打了二十多年，还没分出胜负。

王志涛当年写ModSecurity的时候，肯定没想过这东西会变成一门几十亿美元的生意。但他大概想到了一个朴素的道理：只要Web应用还在，就总有人想搞破坏，也就总需要有人站在前面挡着。

本文地址：http://www.79wt.cn/news/756a9999144.html