开源 WAF / WAF 引擎 / 规则型 WAF
ModSecurity WAF 独立评测
ModSecurity 中文独立评测，结合 OWASP CRS 4.25.0 Docker 请求结果、JSON 请求体证据、正常流量告警、调优风险与 Coraza 替代方案。
快速结论
ModSecurity 评测结论
当 OWASP CRS 兼容性和既有规则运维经验比连接器集成与长期调优成本更重要时，ModSecurity 仍值得进入候选名单。
- 评分
- 3.8 / 5
- 适合
- 规则型检测、已有 CRS 用户
- 更新
- 2026-07-26
评估准备度
3.8/5
这是 WAFWiki 基于部署适配、运维可控性、文档信号、生态成熟度和透明度给出的评估准备度，不等同于性能基准测试分数。正式选型仍应通过真实流量 PoC 验证。
适合
- 规则型检测
- 已有 CRS 用户
- 传统 WAF 技术栈
注意事项
- 正式启用拦截前，需要用真实业务流量验证误报和性能影响。
- 价格、商业功能、支持边界和服务条款应以官方信息为准。
- 需要提前设计日志接入、告警分流、回滚路径和变更审批流程。
评估维度
| 维度 | WAFWiki 观点 |
|---|---|
| 部署模型 | 优先确认它部署在云边缘、反向代理、Ingress、网关还是应用入口之前。 |
| 运维责任 | 区分托管平台责任与团队自运维责任，避免把产品安装等同于安全闭环。 |
| 对比角度 | 至少选取一个同类托管方案、一个开源或自托管方案做同流量对照。 |
| 证据优先级 | 以官方文档、真实流量测试、日志证据和可回滚变更为主要依据。 |
动手测试计划
- 在隔离环境或低风险入口接入 WAF。
- 先观察正常登录、上传、API、后台和高频路径。
- 使用安全测试载荷验证检测、日志和动作是否符合预期。
- 记录误报、延迟、日志字段、告警链路和一键回滚步骤。
决策问题
- 这个 WAF 是否匹配我们的真实流量入口？
- 团队是否能长期维护规则、日志、误报和升级？
- 相同预算下，托管 WAF、自托管 WAF 和云厂商原生 WAF 哪个风险更低？
替代方案
ModSecurity 对比页面
常见问题
这篇 ModSecurity 评测有哪些证据？
本评测结合 ModSecurity、OWASP CRS 官方资料与 WAFWiki 本地 Docker 证据，包括同 CRS 的 20 决策矩阵、JSON 请求体检查、正常流量回归和顺序响应时间快照；实验只覆盖一条 NGINX 路径，并不代表所有连接器或生产流量。
ModSecurity 还有哪些内容尚未验证？
连接器兼容性、CRS 版本、偏执等级、请求体处理和规则排除维护都会显著改变实际结果。