WAF（Web Application Firewall，Web应用防火墙）防护，是在Web应用前增加一层专门解析HTTP/HTTPS流量的安全策略，用来识别并拦截SQL注入、XSS、命令注入、恶意爬虫、异常高频访问等请求。它更像应用层门禁和规则检查，能降低常见自动化攻击和漏洞利用风险，但不能替代代码修复、权限管理和主机安全。判断是否需要WAF，可看三点：业务是否直接暴露公网、是否处理登录/支付/
WF 的安全级别没有通用固定答案。若它指 Web 防护、Web 应用防火墙或主机防火墙模块，建议生产环境默认选中级/标准级：开启常见恶意请求拦截，但先以观察模式运行；核心业务、后台、支付或正在被攻击时提高到高级/严格；第三方回调、旧客户端、开放 API 等兼容性敏感场景用低级，并配合精准白名单。级别高低不是安全目标，能否匹配风险且不打断业务才是。 先分清级别到底控制什么 规则强度：SQL 注入、X
