先看部署形态，而不是知名度
开源 WAF 并不等价。有的是可部署产品，有的是 WAF 引擎，有的是规则集。最合适的起点应由你的真实流量入口和团队可控能力决定。
- 自托管产品适合快速 PoC。
- WAF 引擎适合已有代理或网关工程能力的团队。
- 规则集需要搭配兼容引擎使用。
WAF 短名单
最佳开源 WAF
最佳开源 WAF 中文短名单，面向正在按部署模式、预算、运维责任和验证成本筛选 WAF 的团队。
筛选标准
- 部署路径清晰
- 验证成本可控
- 日志和误报可运营
- 官方资料和生态活跃度
适合读者
适合正在比较 最佳开源 WAF、替代方案和选型清单的团队。
选型指南
如何使用这份短名单
评估维护风险
免费或开源不代表长期成本为零。规则更新、日志、误报、升级和回滚都需要明确责任人。
- 检查当前文档和版本活跃度。
- 确认谁负责规则排除和升级。
- 启用拦截前写好回滚步骤。
使用同一套验证包
公平对比需要相同业务路径、相同安全测试载荷、相同日志字段和相同观察窗口。
- 覆盖登录、上传、API、后台和大请求体。
- 按规则和路径记录误报。
- 不要在生产流量中做破坏性测试。
排序说明
短名单不是放之四海而皆准的排名。
该名单区分可部署产品、WAF 引擎和规则集；更靠前只表示更符合当前评估路径，不代表通用安全能力排名。
相关研究