标签：ModSecurity

1.准备与目标设定 （1）明确防护目标：阻断常见Web攻击（SQL注入、XSS、恶意爬虫、文件包含）。 （2）资产盘点：列出域名、服务器IP、主机/VPS规格与流量基线。 （3）带宽/峰值评估：测算日均流量与峰值QPS（例如：日均200万请求，峰值800 RPS）。 （4）预算与SLA：按月预算是否支持云WAF（如云厂商按流量计费）或自建方案。

常见云WAF提供商：Cloudflare、Akamai、AWS WAF、Azure WAF、阿里云WAF、腾讯云WAF、华为云WAF等，均为托管式云防护，有DDoS缓解、WAF规则、BOT管理等功能。 常见开源WAF：ModSecurity（配合libmodsecurity/反向代理或Nginx）、OWASP CRS规则集、OpenResty +

1. 报告简介与注意事项 (1) 本文目标：用可复现的步骤测试免费或免费层云WAF的防护效果与性能；(2) 合法性提醒：只在你拥有或被授权的环境上测试，未经授权攻击他人系统违法；(3) 环境准备简述：建议使用独立staging域名与快照备份。 2. 待测产品与部署方式 (1) 常见选项：Cloudflare（免费计划）、ModSecurity+CR