用途：为部署在 AWS API Gateway（REST 或 HTTP API）上的公网端点提供 Web 应用防火墙防护，抵御常见 Web 攻击、API 滥用、DDoS 与自动化机器人流量，并满足合规对公网 API 的 WAF 要求。
主要能力：创建 REGIONAL 范围 Web ACL，启用 AWS 托管规则组（CommonRuleSet、KnownBadInputs、SQLi、AmazonIpReputationList）做基线防护；添加基于 IP 的速率限制规则（如全局限 2000、登录端点限 100）；启用 Bot Control 托管规则组（COMMON 检查级别，可排除特定规则）；编写自定义规则，如强制 x-api-key 请求头、按国家地理限制、限制请求体大小（如超过 10240 字节拦截）；将 Web ACL 关联到 API Gateway 阶段；通过 Kinesis Firehose 将 WAF 日志投递到 S3，并脱敏 authorization、cookie 等字段；用 CloudWatch 指标与采样请求监控拦截情况，创建高拦截率告警。
使用方式：需具备 wafv2:* 与 apigateway:* 的 IAM 权限，并已部署公网 API Gateway。核心命令包括 aws wafv2 create-web-acl、update-web-acl、associate-web-acl、put-logging-configuration、get-web-acl-for-resource，以及 aws cloudwatch get-metric-statistics、put-metric-alarm 等。建议先以 Count 模式观察再切换 Block，定期查看采样请求调优规则。
适用场景：公网 API 防凭据填充与机器人攻击、限流防滥用、合规要求 WAF 防护、按 IP 信誉或地理位置控制访问。
限制：不适用于网络层 DDoS 防护（应使用 AWS Shield）、应用逻辑漏洞（应使用 SAST/DAST）、微服务间内部 API 安全（应使用服务网格认证授权）。按 IP 限流可能误伤共享 NAT 或企业代理后的合法用户；Bot Control 的 COMMON 级别可能拦截合法 API 客户端，需先观察再启用拦截。具体收费与价格资料暂未提供。