上周有个客户被SQL注入打穿了库，损失不小。复盘的时候他问我："到底该用云WAF还是自己搭一个？"这问题其实没有标准答案，得看你公司的实际情况。
云WAF：省事但不省心
云WAF的原理很简单——把你的域名DNS切到WAF厂商，流量先经过他们的清洗中心再回源到你的服务器。阿里云WAF、腾讯云WAF、知道创宇都属于这类。
好处显而易见：不需要在服务器上装任何东西，开通即用。规则库由厂商维护，新漏洞出来几小时内就能更新。遇到大流量DDoS，云WAF的清洗能力远超你自己的服务器。
但坑也有。首先是延迟，所有请求多绕一跳，对延迟敏感的业务（比如实时交易）要测一下实际影响。其次是误报，云WAF的通用规则不一定适配你的业务逻辑，正常请求被拦的情况不少见。最后是成本，按域名数和请求量计费，流量大的站点每月费用可能上千。
自建WAF：灵活但吃人力
自建WAF一般基于ModSecurity或OpenResty，部署在自己服务器上。最大优势是规则完全自主可控，可以针对业务精细调优，误报率能压到很低。
代价是什么？你得有人懂规则编写。ModSecurity的规则语法不直观，写一条准确的防护规则可能要调试半天。规则更新也得自己跟，不能指望自动覆盖所有新漏洞。遇到大流量攻击，你服务器本身的带宽和算力就是瓶颈。
三个维度帮你决策
第一看团队。没有专职安全人员的公司，直接选云WAF，别犹豫。有人盯着的安全团队，可以考虑自建+云WAF混合方案：云WAF挡大流量，自建WAF做精细化防护。
第二看业务类型。电商、金融这类对可用性要求极高的，建议云WAF为主，自建为辅。内容站、企业官网这类，云WAF单独够用。
第三看预算。月预算500以内的，云WAF基础版就行。预算充足且有运维能力的，混合方案防护效果最好。
别指望WAF能解决所有安全问题，它只是纵深防御的一层。服务器加固、代码审计、数据库权限控制，这些基本功一个都不能少。