选择 WAF 部署方式，先回答三个问题：流量是否必须经过 WAF、能否修改 DNS 或路由、TLS 证书和私钥由谁管理。公网域名且能改 DNS，优先云 WAF；不能改拓扑但要求串联阻断，选透明桥或网关；云原生和 API 场景，用 Ingress、API 网关或 Sidecar；只想审计和调规则，先旁路镜像。阻断能力、回源隐藏、性能与高可用，是后续取舍重点。 云 WAF：DNS/CNAME 接入 适
选择 WAF 配置方式，先看三件事：流量入口能否改动、团队能否维护规则、业务能承受多大误杀。能改 DNS 且希望快速上线，优先云 WAF；有固定机房和合规要求，考虑硬件或网关 WAF；容器和微服务环境，优先 Ingress、服务网格或 API 网关集成；需要深度定制和单机防护，可选主机/软件 WAF。无论哪种，先监控后拦截，先基线后自定义。 部署形态：云、主机、硬件、网关 云 WAF：通过 CNA
