核心要点（TL;DR）
- 预算有限且流量小的站点，优先用CDN防护叠加免费云WAF档位，性价比最高。
- 自建WAF推荐Nginx+ModSecurity+OWASP CRS，规则需调为DetectionOnly观察一周再拦截。
- 云WAF擅长应用层规则与CC防护，CDN擅长吸收流量型DDoS，两者职责不同不可互替。
- 上线前必须做误拦截回归测试，否则正常业务请求会被规则直接拦死。
很多站长在网站被刷、被扫、被打挂之后才开始找防护方案，结果面对云WAF、CDN防护、自建开源WAF三种路线无从下手：买贵的怕浪费，选自建又怕没人维护。本文不谈概念，直接给出三类网站安全防护方案的原理差异、可执行的部署命令和一份选型检查清单，照着做就能落地。
三类方案到底在防什么
先明确职责边界，选型才不会错位：
- CDN防护：把流量分散到边缘节点，隐藏源站IP，主要吸收流量型DDoS、缓存静态资源，附带基础CC限速。
- 云WAF：在应用层做规则匹配，识别SQL注入、XSS、恶意爬虫、CC攻击，规则由厂商托管更新。
- 自建开源WAF：Nginx/Apache挂ModSecurity加载OWASP CRS规则，完全自主可控，但规则更新与调优靠自己。
三者不是替代关系：CDN挡流量，WAF挡请求内容，自建方案补精细控制。
自建开源WAF：从零到可用的具体步骤
以Nginx+ModSecurity v3+OWASP CRS为例，Debian/Ubuntu环境：
apt install -y libmodsecurity3 libnginx-mod-http-modsecurity
apt install -y modsecurity-crs在Nginx的http块引入模块并开启引擎，先观察不拦截：
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;main.conf中关键配置：
SecRuleEngine DetectionOnly
Include /usr/share/modsecurity-crs/owasp-crs.load
SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log执行nginx -t && systemctl reload nginx后观察一周日志，统计命中规则：
grep -o 'id "[0-9]*"' /var/log/nginx/modsec_audit.log | sort | uniq -c | sort -rn | head -20对高频误报规则按路径精准排除，例如后台富文本提交：
SecRule REQUEST_URI "@beginsWith /admin/editor" "id:1001,phase:1,pass,nolog,ctl:ruleRemoveById=942100"调优完成后把SecRuleEngine改为On，并保留审计日志。
云WAF与CDN接入的实操检查点
- DNS切换到CDN厂商CNAME，等待解析生效，用
dig +short 你的域名确认返回边缘IP。 - 源站安全组只放行CDN回源IP段，禁止公网直连80/443。
- 云WAF开启CC防护，阈值先设宽松档，观察业务QPS曲线后再收紧。
- 开启全量日志投递到SLS/日志服务，保留至少30天用于攻击回溯。
- 用
curl -I https://你的域名确认回源头和证书链正常，避免混合内容报错。
三类方案对比与选型建议
| 维度 | 云WAF | CDN防护 | 自建开源WAF |
|---|---|---|---|
| 应用层规则深度 | 强，厂商托管更新 | 基础 | 强，需自行调优 |
| DDoS吸收能力 | 中 | 强 | 无 |
| 运维负担 | 低 | 低 | 高 |
| 成本 | 按量或包年 | 低 | 服务器+人力 |
| 数据可控性 | 中 | 中 | 完全自主 |
选型建议：日PV十万以下且无专职安全人员，CDN+云WAF基础档即可；有合规要求或需深度定制规则，源站加自建ModSecurity；高防需求明显的业务，CDN清洗层不可省。若希望减少自建规则的调优成本，可关注AegisX提供的应用层防护与规则托管能力，作为源站兜底。
上线前必做的回归清单
- 用
sqlmap -u对测试环境发起注入，确认被拦截且返回403。 - 模拟高频请求
ab -n 2000 -c 100，验证CC限速生效且正常用户不受影响。 - 回归登录、支付、文件上传、富文本提交四条核心链路，确认无误拦截。
- 检查审计日志是否完整记录攻击源IP与命中规则ID。
- 制定应急开关：保留一键切DetectionOnly的操作路径。
行动建议：本周先完成源站IP收敛与CDN接入，再用DetectionOnly模式跑通自建WAF观察期，两周后依据日志决定是否开启拦截。防护是持续调优的过程，先有防线，再谈精细。
常见问题（FAQ）
小网站没钱买商业WAF，用免费CDN防护够用吗？
对多数中小站点基本够用，但要认清边界。免费CDN能隐藏源站IP并吸收流量型DDoS，部分厂商还附带基础WAF规则和CC限速，可挡住常见扫描与低强度攻击。但它对SQL注入、越权等应用层攻击的规则深度有限，且日志与自定义规则能力弱。建议免费CDN防护打底，源站再加Nginx限速与ModSecurity兜底，形成两层防线。
自建开源WAF和云WAF的防护效果差多少？
规则层面差距不大，差距在规则更新速度与运营。云WAF厂商有专门团队每天跟进0day与新型攻击特征，规则自动下发；自建ModSecurity依赖OWASP CRS社区更新，需自己拉取规则并调优，遇到误拦截也要自己排查。若团队有安全运维能力，自建可做到更贴合业务的精细控制；若无人值守，云WAF的托管规则更省心。
接入CDN后源站IP还会泄露吗？怎么防？
仍可能泄露，常见途径包括历史DNS记录、邮件服务器同IP、子域名直连和证书透明日志。防护做法：源站只放行CDN回源IP段，用Nginx的allow/deny或云安全组限制；更换源站IP并清理历史解析；子域名统一走CDN；关闭不必要的直连端口。定期用外部端口扫描自查源站是否可被直接访问。
ModSecurity开启后网站出现大量误拦截怎么办？
先切到DetectionOnly模式观察，不要直接拦截。把SecRuleEngine设为DetectionOnly，日志中记录命中规则ID，统计高频误报规则，再用SecRuleRemoveById按路径或参数精准排除，避免全局关闭。调优一周后再切回On，并保留日志监控。切勿为了省事直接关闭整条CRS规则集，那等于放弃防护。
云WAF、CDN和自建方案能同时用吗？架构怎么排？
可以且推荐组合使用。典型链路是：DNS指向CDN，CDN回源到源站Nginx，Nginx上挂ModSecurity做最后一道应用层校验。这样流量型攻击在CDN层被清洗，应用层攻击由云WAF规则与源站开源WAF双重拦截。注意回源要限制只允许CDN节点IP，并保证各层日志可关联，否则排查攻击时链路断点会很难定位。