流盾WAF

流盾WAF（Flow Shield WAF）不是阿里云、腾讯云那种大厂云产品，而是一个偏社区/个人开发者路线的开源流量防护系统，官网自述定位是”面向网站、业务接口与 Web 应用的智能流量防护系统”，底层基于 OpenResty做反向代理。流量先进流盾引擎，匹配规则后再回源到源站，配一个可视化管理面板。

在我看来，它更像给中小站长、个人博客、独立开发者准备的那一类工具：主打CC攻击防护、恶意访问识别、自动化攻击拦截，而不是那种要过等保、要出合规报告的企业级设备。它的宣传口号是”识别 → 拦截 → 清洗 → 守护“，说白了就是把站长日常真正会用到那几件事打包在一起。

主要功能

官方列的能力大致是这几块：

性能：Lua + Redis 做规则与计数，宣称单请求跑完整个防护流程通常不到 1 毫秒。
规则策略：30+ 匹配项，覆盖 URL、IP、请求头、地域、Cookie、Bot 等，条件支持包含、排除、等于、正则。
多模式处置：观察、拦截、JS 挑战、滑动验证，规则热同步，改配置不用重启引擎。
限速与 CC 防护：多维速率统计，识别高频和自动化攻击。
AI相关：可以调用 AI 辅助生成策略，也支持条件触发后自动分析日志、提炼特征并建规则，走”无人值守”的路子。
面板功能：总览态势、站点管理、证书、黑白名单、例外、Bot 库、IP 组、日志多维筛选与排行。

怎么用

流程其实不复杂，和多数反向代理型WAF 一个套路：

准备一台服务器（建议别和源站挤在一起，内存至少2G比较稳），装好Docker。
用Docker Compose一键拉起，官方说一条命令完成安装，也兼容宝塔面板。
登录管理面板，添加站点，填源站地址和端口，上传或签发 SSL 证书。
把域名的DNS解析指到流盾所在机器的IP（或 CNAME），让流量先过它。
源站安全组只放行流盾的回源IP，防止别人绕过WAF直打源站，这一步很多人会漏。
上线时先开”观察模式“跑几天，看日志里的命中情况，再逐步把规则切成拦截，避免一上来就误杀真实用户。

如果源站已经在用宝塔且占着 80/443，得先把源站端口改掉，这个坑在雷池那边也一样存在。

适合什么场景

个人博客、小型企业官网、API接口站、被CC和爬虫刷得头疼的站点，比较对口。尤其是预算有限、又不想把流量交给第三方云WAF的人，自建一套心里更踏实。

反过来，如果你的业务量很大、需要 Tbps 级 DDoS 清洗、需要 7×24 安全团队响应和 0day 虚拟补丁，那它大概率撑不住，这类需求还是云 WAF 或商业设备更合适。

优点和缺点（带点主观判断）

优点这边，免费、轻量、部署快、面板直观，规则维度给得比想象中细，AI自动建规则这个思路挺讨喜，至少省了半夜爬起来手撸规则的痛苦。数据全在自己机器上，隐私上比较干净。

缺点我也直说：项目体量和社区规模明显小于雷池这类成熟开源WAF，公开可查的第三方评测、长期稳定性反馈很少，这一点有待商榷，我不能替它背书。另外有资料提到它”未使用主流开源许可协议”，商用前建议自己把许可条款读一遍，别踩坑。还有，它挡的是应用层，网络层大流量DDoS不是它的战场，源站带宽被打满照样白搭。