🛡️ WAF选型指南

WAF 是什么，它在你的安全体系里站哪个位置

Web 应用防火墙（WAF）工作在应用层，检查的是 HTTP/HTTPS 请求里的内容——URL、参数、Cookie、请求体、User-Agent。它拦的是 SQL 注入、跨站脚本、命令执行、文件包含、WebShell 上传、恶意爬虫、CC 攻击这一类「看起来像正常访问，实际上在利用业务逻辑漏洞」的流量。

很多人把 WAF、云防火墙、DDoS 高防混着说，其实三者管的事完全不同：

所以一个完整的 Web 业务防护链路，通常是「高防清洗流量型攻击 → WAF 拦应用层攻击 → 云防火墙管内网横向」三层叠加，缺一层就有对应的盲区。只买 WAF 不买高防，遇到几百 G 的流量攻击时 WAF 实例本身也会被打挂；只买高防不买 WAF，攻击者绕过流量清洗直接打业务漏洞，一样能进来。

2026 年 WAF 价格：版本差价到底差在哪

先看阿里云 WAF 3.0 的包年包月版本价格（截至 2026 年 10 月官方公开价）：

腾讯云 SaaS 型 WAF 的公开报价是：高级版 3,880 元/月、企业版 9,880 元/月、旗舰版 28,880 元/月，独享版需工单报价。两家在同档位上的刊例价几乎贴着走，差异主要在防护规则库、Bot 识别能力和日志方案上。

真正容易超预算的不是基础版费，是增值项。以阿里云为例，下面这些是单独收费的：

算一笔实际账：一个企业版（9,800 元/月）加上 Bot 管理新版（8,000 元/月）加日志 3TB（1,500 元/月），月支出就是 19,300 元，接近基础版费的两倍。做预算时一定要按「基础版费 + 必买增值项」算，不能只看版本价。

另外，阿里云云防火墙和 WAF 在长期购买上都有折扣阶梯——云防火墙一次性买 1 年以上 8.5 折、2 年以上 7.5 折、3 年以上 7 折。如果确定长期用，年付比月付省下来的钱足够覆盖一个季度的日志存储费。

选 WAF 要盯住的五个指标

一、业务 QPS，不是网站访问量

WAF 的规格单位是 QPS（每秒请求数），不是 UV 或 PV。一个日 PV 十万的网站，如果集中在早晚高峰两小时内，峰值 QPS 可能就是几百；但一个有大量静态资源请求的页面，单次访问可能产生几十个请求。估算方法是：峰值小时 PV ÷ 3600 × 单页面平均请求数 × 1.5 倍冗余。阿里云企业版内置的 QPS 规格要按具体版本核对，超出后按 3 元/QPS/月 扩展。

二、域名和子域数量

WAF 按域名计费，主站、官网、活动页、测试环境、API 子域往往不是一个域名。阿里云默认包含的域名数按版本不同，超出部分 110–150 元/个/月。腾讯云企业版包含 3 个域名 30 个端口，旗舰版 4 个域名 40 个端口。如果业务有几十个子域，这块成本要单独算。

三、防护能力：规则库更新速度和 0day 响应

WAF 的核心价值是规则库。要看三件事：规则库多久更新一次、0day 漏洞的虚拟补丁多久下发、是否支持自定义规则条数。腾讯云高级版自定义规则 100 条/域名，企业版 120 条，旗舰版 150 条；阿里云各版本的自定义规则条数在控制台「版本功能对比」页有明确列表。规则条数不够时，业务侧的个性化防护需求会卡住。

四、日志留存，这是合规硬指标

《网络安全法》要求网络日志留存不少于六个月，等保三级同样要求审计日志保存 6 个月以上。WAF 默认日志留存时间通常很短（7 天左右），要满足合规必须单独购买日志服务。阿里云 500 元/TB/月、最小 3TB，腾讯云安全日志服务包 1TB 支持最长 180 天查询。这块预算经常被漏算。

五、接入形态：SaaS 型、云原生型还是混合云节点

SaaS 型通过 CNAME 接入，能保护任何公网服务器，包括其他云的、IDC 的，灵活性最高，但流量要绕行 WAF 集群，会带来毫秒级延迟。云原生型直接挂载在负载均衡上，延迟更低，但只能保护同一云平台内的七层流量。混合云场景下，如果业务在自建 IDC 且不能改 DNS，就要买多云/混合云扩展节点，阿里云这块 10,000 元/个/月起，成本明显更高。

主流厂商的 WAF 各有什么特点

阿里云 WAF 3.0

版本梯度最完整（基础/高级/企业/旗舰四档），增值项拆分最细，适合能精细控制预算的团队。基础版 980 元/月的入门价在国内主流云里门槛最低，适合单站点试水。缺点是增值项多，Bot 管理、API 安全、日志、洪峰限流都要单独开，容易在结算时超出预期。

腾讯云 WAF

分 SaaS 型和云原生型两条产品线，SaaS 型能保护云外机房，云原生型延迟更低。高级版 3,880 元/月起步，没有阿里云那样的低价入门档。安全日志服务包按 1TB 打包、支持 180 天查询，对合规场景比较友好。独享版需要工单报价，适合大型业务定制。

华为云 WAF

政企和信创场景适配度较高，和华为云自身的等保合规解决方案打包销售比较常见。价格需要按版本咨询，公开刊例价的透明度与阿里云、腾讯云存在差异。如果企业本身在用华为云或有信创要求，选它的一致性更好。

百度智能云、京东云、火山引擎

这三家的 WAF 都属云平台配套安全能力，价格体系相对简单，通常和云主机、负载均衡打包议价。适合已经重度使用对应云平台、不想引入第二家安全厂商的团队。单独采购 WAF 的场景下，功能深度和规则库积累相比阿里云、腾讯云有差距。

知道创宇、长亭科技、安恒等专业安全厂商

这类厂商的 WAF 强在规则研究深度和攻防对抗经验，尤其 Bot 管理和 0day 防护。缺点是部署和运维成本更高，通常需要独立硬件或虚机，价格按项目报价，起步量级明显高于云厂商 SaaS 版。适合有专职安全团队、对防护深度要求高的中大型企业。

需要说明的是，各家产品能力会随版本迭代变化，具体功能差异建议以官方最新版本对比表为准，本文列出的价格均为公开刊例价，实际成交价受商务折扣影响。

按业务场景怎么选

如果预算紧张，一个务实的路径是：先用基础版或高级版把主站护住，把规则库更新和日志留存这两件事做扎实，等业务量上来、或者等保测评明确要求时再升版本。WAF 支持在实例管理里升级套餐，但不支持降级，所以起步不要一次买到旗舰版。

五个常见误区

误区一：买了 WAF 就等于网站安全了

WAF 拦的是应用层攻击特征，管不了业务逻辑漏洞（比如越权访问、支付金额篡改）、管不了服务器本身的系统漏洞、也管不了内部人员的数据导出。WAF 是防护体系的一层，不是全部。

误区二：只按访问量选版本

访问量和 QPS 不是一回事。促销活动、接口轮询、爬虫抓取都会让 QPS 远超日常访问量对应的水平。版本选小了，攻击高峰期 WAF 自己先触发限流，正常用户被误伤。

误区三：忽略回源 IP 白名单

接入 WAF 后，源站必须只允许 WAF 的回源 IP 访问，否则攻击者查到源站真实 IP 后直接绕过 WAF 打源站，WAF 就成了摆设。这一步在接入配置里经常被漏掉。

误区四：开了 WAF 就不看日志

WAF 的拦截日志是发现真实攻击的主要依据。不配告警、不看日志，等于花钱买了个不报警的门禁。建议至少把「高危拦截」和「规则命中突增」两类告警接到值班群。

误区五：以为 CC 防护等于 DDoS 防护

CC 攻击是应用层的慢速请求耗尽连接数，WAF 的 CC 防护能处理；但流量型 DDoS（SYN Flood、UDP 反射）打到几百 G 时，WAF 实例本身就在攻击路径上，必须先靠高防或云清洗把流量过滤掉。这两类攻击要分别买对应的产品。