WAF 的有效性不取决于“开了多少规则”，而取决于策略是否匹配业务流量、能否观测误报、是否具备回滚与调优闭环。若关键接口误拦截不可控，或日志无法定位请求，应先解决可观测性与放行机制，再扩大拦截范围。 明确防护边界与部署模式 先回答三个问题：WAF 保护哪些域名、路径和 API？流量是否经过 WAF？源站能否被绕过？ 常见模式包括反向代理、透明桥、云 WAF 和插件。判断标准是：能获取真实客户端 I
