3. OWASP Top 10与WAF防护映射
WAF不是万能盾牌，它的价值取决于我们是否清楚“哪些攻击能在哪一层被看见、被判断、被阻断”。OWASP Top 10 提供的是风险类别视角，而WAF落地需要的是可观测的请求特征与可执行的拦截点。把两者对齐，才能既避免漏防，也避免误拦正常业务。
一、从风险类别到可拦截特征
OWASP Top 10 的每一类风险，在HTTP流量中往往表现为特定的参数形态、编码方式、路径结构或会话行为。WAF的检测能力通常分布在四个层面：请求行与URL（路径、查询串）、请求头（Cookie、Referer、User-Agent、Content-Type）、请求体（表单、JSON、XML、multipart）、以及响应体（用于防敏感信息泄露或网页篡改）。理解这个分层，是判断“WAF能不能拦”的前提。
以最常见的几类为例：SQL注入（A03）的典型特征是参数中出现单引号、注释符、联合查询关键字或布尔恒真结构；XSS（A03）表现为脚本标签、事件属性、javascript伪协议或编码后的等价形式；命令注入（A03）常见分隔符与系统命令组合；路径遍历（A01）表现为../及其编码变体；SSRF（A10）则体现在参数携带内网地址、非预期协议或重定向跳转。WAF的规则引擎正是围绕这些“可观测特征”建立匹配与评分。
二、WAF可拦截点：规则、语义与行为
WAF的拦截动作通常由三类机制共同决定。第一类是特征规则匹配，例如对参数值匹配 union\s+select、<script、../ 等模式，命中后按规则动作放行、告警或阻断。第二类是解码与语义还原，攻击者常用URL编码、双重编码、大小写混写、注释插入来绕过简单匹配，WAF需要先做规范化再检测，否则会出现“看起来没命中、实际已绕过”的漏防。第三类是行为与频率控制，例如同一IP在60秒内对登录接口请求超过30次、或对同一参数反复提交异常长度，可触发限速或挑战。
需要强调的是，WAF的拦截点集中在“请求到达应用之前”和“响应返回用户之前”。这意味着它能有效处理通用型、模式化的攻击，但对业务逻辑型问题往往无能为力。例如A01中的越权访问，如果攻击者只是把订单ID从1001改成1002，请求本身完全合法，WAF无法仅凭流量判断这属于越权；A04不安全设计、A06脆弱组件、A09日志监控不足，也都超出了WAF的检测边界。
三、防护边界：哪些必须交给应用与流程
把边界说清楚，才能合理设定WAF的预期。以下三类问题不应寄希望于WAF单独解决：
- 业务逻辑缺陷：如优惠券重复领取、支付金额篡改、审批流绕过。请求参数在语法上完全正常，WAF缺少业务上下文。
- 身份认证与会话设计缺陷：如弱口令策略、会话固定、Token泄露。WAF可做登录频率限制，但无法替代认证机制本身。
- 组件与配置类风险：如使用了存在已知漏洞的第三方库、目录列表未关闭、默认口令未修改。这些需要在开发、运维和资产管理层解决。
反过来，WAF在A03注入类、A07部分认证攻击、A10 SSRF、以及响应侧敏感信息泄露方面，能提供高性价比的快速缓解。工程上常见的做法是：WAF先以“告警模式”运行一段时间，观察规则命中情况与误报来源，再逐步切换到阻断模式。
四、一个可执行的映射检查示例
下面给出一份简化的映射检查表，用于在部署WAF时逐项确认“风险—特征—拦截点—边界”是否对齐。表中参数为教学示例，实际阈值需结合业务流量基线调整。
| 风险类别 | 典型请求特征 | WAF拦截点 | 建议动作 | 边界说明 |
|---|---|---|---|---|
| A03 SQL注入 | 参数含 '、--、union select |
查询串与请求体规则匹配 | 阻断并记录 | 需防编码绕过 |
| A03 XSS | 参数含 <script>、onerror= |
请求体与响应体检测 | 阻断或转义告警 | 存储型需应用侧输出编码 |
| A01 越权 | ID连续递增、路径可枚举 | 频率与路径基线 | 告警+限速 | 无法判断业务归属 |
| A07 认证攻击 | 登录接口高频失败 | 频率控制与IP信誉 | 限速/挑战 | 弱口令策略需应用侧落实 |
| A10 SSRF | 参数含内网IP、file:// |
参数值与协议白名单 | 阻断 | 需配合出站访问控制 |
总结来看，OWASP Top 10 与WAF的映射关系可以概括为：能模式化的攻击，WAF拦截效率高；依赖业务语义和设计的问题，WAF只能辅助。工程实践中，先用映射表明确每类风险的检测特征与拦截点，再标注边界与配合手段，才能让WAF在整体防护体系中发挥应有的作用，而不是成为误报和漏报的来源。