第十课：WAF 防护——给博客请个保安

CDN 加上了，博客快了。但快不等于安全：博客一上线，扫描器、爬虫、撞库脚本就会找上门。你看不见它们，但它们每天都在敲你的门。这节课给博客请个保安——WAF。

WAF 是干什么的

WAF（Web 应用防火墙）站在访客和你的服务器之间，逐个检查进来的请求：SQL 注入、XSS 跨站脚本、恶意爬虫、暴力破解登录页，这些它都认得，直接拦下。

打个比方：第二课的安全组是小区的门，只管"让不让进"；WAF 是单元门口的保安，管的是"这个人是不是来捣乱的"。门和保安是两道防线，不互相替代。

开通四步（华为云）

1. 开通服务：控制台搜"WAF"，个人博客从基础版起步，按需选。
2. 添加防护域名：填你的博客域名。
3. CNAME 接入：选"云模式"，WAF 会给你一个 CNAME 地址，去域名解析里把记录改过去就行——跟 CDN 那一步很像。
4. 先记录、后拦截：基础防护规则打开后，动作先选"仅记录"，跑几天观察日志，确认没误杀正常访问，再切到"拦截"。

一个关键细节：你已经用了 CDN，链路应该是 访客 → CDN → WAF → 源站。去 CDN 控制台把回源地址改成指向 WAF，别让 CDN 直接回源站——否则请求绕过保安，等于没请。

小白最容易踩的坑

• 顺序搞反：WAF 必须站在 CDN 后面、源站前面。顺序错了，防护等于没开。
• 一上来就开拦截：先"仅记录"跑几天。规则偶尔会误伤正常请求，确认干净了再拦截。
• WordPress 后台被拦：发文章、装插件时的请求有时会被规则误杀，把 /wp-admin 这类后台路径加白名单。
• 开了 WAF 就不更新了：WAF 挡的是已知的攻击套路，WordPress 和插件该更新还得更新，两码事。
• 指望它扛 DDoS：真被大流量打上来，基础版 WAF 扛不住，那是高防的活。个人博客碰到的概率极低，知道有这条线就行。

小结

WAF 不解决"博客快不快"，解决"博客半夜会不会被人搞挂"。记住一条：先记录后拦截，后台加白，WAF 和更新两手抓。