Thoughts on Web Application Firewalls

摘要

反驳“部署 WAF 优于修复漏洞代码”的观点：WAF 可被手工构造的请求绕过、需要持续调优、自身也有缺陷；渗透测试中常见自动化 SQL 注入被拦截而手工注入成功。WAF 应是纵深防御的一层，而非替代安全编码。