选择 WAF 部署方式，先回答三个问题：流量是否必须经过 WAF、能否修改 DNS 或路由、TLS 证书和私钥由谁管理。公网域名且能改 DNS，优先云 WAF；不能改拓扑但要求串联阻断，选透明桥或网关；云原生和 API 场景，用 Ingress、API 网关或 Sidecar；只想审计和调规则，先旁路镜像。阻断能力、回源隐藏、性能与高可用，是后续取舍重点。 云 WAF：DNS/CNAME 接入 适
