用途：在云负载均衡后的 Web 应用或 API 前部署和调优云 WAF 规则。适用于新应用上线需 OWASP 防护、渗透测试发现 SQL 注入或 XSS、认证端点遭暴力破解或撞库、PCI-DSS 等合规要求，以及降低误报阻断正常流量。不适用于网络层 DDoS 防护、API 认证设计或代码层安全修复。
主要能力：启用云厂商托管规则集覆盖 OWASP Top 10；创建自定义速率限制规则；配置地理封禁与 IP 信誉；通过日志分析调优减少误报；验证后从 Count 模式切换为 Block 模式。涉及 AWS WAF（配合 ALB/CloudFront 等）、Azure WAF、Cloudflare，以及 Firewall Manager、CloudWatch 指标等。
使用方式：先以 Count 模式启用托管规则集，用 aws wafv2 create-web-acl 创建 Web ACL；再用 update-web-acl 添加基于速率的规则，可结合 ScopeDownStatement 限定具体 URI，并配置 429 自定义响应；用 create-ip-set 配置封禁 IP 段，并启用 Amazon IP 信誉规则；通过 put-logging-configuration 将 WAF 日志输出到 S3，用 Athena 查询高频触发规则；对特定规则做排除（ExcludedRules）以处理误报；经过 7-14 天 Count 验证后将 OverrideAction 改为 None 进入阻断模式。
前提与限制：需先配置好应用入口（ALB/CloudFront、Application Gateway 或 Cloudflare），具备基线流量日志和测试环境，并理解应用请求模式。速率阈值设置过激会误伤共享 NAT 后的正常用户；仅按 User-Agent 封禁易被绕过。具体阈值与厂商规则命名以官方为准。