WAF 与安全组不是替代关系。判断标准很简单：如果源站仍能被公网直接访问，WAF 的规则就可能被绕过；如果安全组只放行了 WAF 回源地址，源站端口不对公网裸露，应用层防护才更容易形成有效闭环。安全组通常负责网络层与传输层的准入，WAF 负责 HTTP/HTTPS 的应用层检测与拦截。二者应分层配置、分别验证。 先分清职责边界 安全组一般作用于云主机、网卡、负载均衡等实例，基于源 IP、目的端口、
