如果业务对公网开放 Web 或 API，并接收用户输入、处理登录、支付或敏感数据，就应把 WAF 纳入防护体系；若只是内网静态页面，优先级可降低。WAF 负责拦截常见 Web 攻击、降低扫描和 CC 影响，但不能替代代码安全、补丁与访问控制。 什么场景需要 WAF 必须考虑：公网 Web/API、登录注册、支付订单、文件上传、数据库查询、第三方回调。风险信号：日志出现大量 SQL 注入/XSS 探
