写给每一位不想被爬虫、扫描器半夜吵醒的前端工程师！

为什么前端要关注 WAF？

过去我们总觉得 WAF 是运维/后端的专属，直到：

• 上线前夜，扫描器把预发环境打挂，前端背锅“页面白屏”；

• SEO 同事投诉：爬虫 10 分钟 20 万次请求，CDN 账单爆炸；

• 老板一句话：“能不能把前端代码也隐藏一下？”

经过两周对 20 余家 WAF 的横向对比，终于锁定 雷池 WAF——一款“前端零感知、5 分钟插拔上线”的透明网关式防火墙，真正做到在现有架构里“即插即用”。

为什么我们最终选择了雷池 WAF？

• 免费！免费！免费！
  个人/小站直接用社区版，核心防护功能全部开放，还能白嫖长亭最新的威胁情报。

• 零门槛上手
  一条 Docker 命令就能跑起来，1 核 1 G 的轻量服务器就能扛住日活几千的站点。

• 攻防演练神器
  学生党第一次打防守，不用申请昂贵设备，5 分钟装好就能体验企业级防护。

• 企业级兜底
  语义分析 + 动态混淆，0day 来了也不用半夜守着升级规则，照样拦得住。

一句话：个人够用、学习够轻、企业够稳。

前端最在意的 4 个核心功能

• 动态混淆
  HTML/JS/CSS 每次随机变形，F12 直接看不懂，爬虫和调试工具瞬间抓瞎。

• Bot 清洗
  内置 2000+ 爬虫指纹，官方搜索引擎自动放行，其余流量直接 403，CDN 费用立减 90 %。

• 0day 拦截
  不依赖规则库，语义分析引擎直接识别恶意 Payload，未知漏洞也能挡。

• 自动 SSL
  Let’s Encrypt 一键签发 + 续期，https 无痛上线，前端再也不用手动合并证书链。

快速集成

所有步骤均来自

• 雷池 WAF 帮助文档：https://help.waf-ce.chaitin.cn/welcome

确认环境

• Linux x86_64 / arm64

• Docker ≥ 20.10.14

• Docker Compose ≥ 2.0.0

• 最低 1 核 1 GB 5 GB 磁盘

一键检查命令：

   uname -m && docker version && docker compose version && free -h && df -h

自动安装（推荐）

可以直接使用一下命令安装：

   bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"

输入命令后控制台会提示你要执行的动作序号：[1.安装 2.升级 3.卸载 4.修复 5.重启]

这里因为我是首次安装，直接选择 【1.安装】 即可，系统会自动检测必要的组件有没有安装，直接选择 Y安装：

提示让设置 雷池 WAF 的安装目录：

几分钟后脚本会输出管理面板地址 https://<safeline-ip>:9443 和默认账号密码。

浏览器打开 https://<safeline-ip>:9443，首次登录按提示初始化管理员账户即可。

记得在安全组放行 9443 端口。

添加应用

现在雷池已经安装成功,进入 “防护应用” → “添加应用”

• 域名：填你对外访问的域名，记得把 DNS 指到雷池 IP

• 端口：HTTPS 就勾 SSL，证书可自动申请；HTTP 直接留 80

• 上游服务器：写你后端真实地址，如 http://127.0.0.1:8080
  保存后 30 秒生效。

配置完成后, 可以看到界面中生成了一个应用防护卡片：

测试

用浏览器访问刚配置的域名，只要 “数据统计” 里请求数增加，就说明接通了。

SQL 注入攻击测试

使用 SQL 攻击进行测试,则直接返回 拦截页面

并且在 Web 界面中,可以看到攻击的详情:

CC 防护攻击测试

再测试一下雷池的 CC 防护, 首先在雷池的 CC 防护页面中, 打开全局配置,如图:

在全局配置界面中,把需要打开的配置打开：

在本地我用以下命令来模拟 cc 攻击,命令如下:

wrk -t12 -c400 -d30s https://xxx:8003

该命令采用 12 个线程, 400 个并发连接, 持续攻击 30 秒目标, 命令执行效果如下:

回到雷池的 CC 防护页面, 可以看到攻击已经被拦截掉,如图:

除了“一键”，还有别的装法

• 手动安装：自己拉镜像、写 compose，适合有洁癖的运维。

• 离线安装：内网或无公网环境，可提前下载离线包，拷进去就能跑。

不管你是家用群晖、公司裸机，还是内网机房，总有一种姿势能把你罩住。

更多的安装方式这里就不一一讲解，想要了解的同学可以参考官方文档：https://help.waf-ce.chaitin.cn/welcome

前端 3 步无感上线

把域名指过来

DNS 里把 A 记录 指向雷池服务器，端口 9443（https）和 9080（http）已自动放行。

Nginx 改一行

   # 原来
   location / { proxy_pass http://127.0.0.1:3000; }

   # 现在
   location / { proxy_pass http://雷池_IP:9443; }

0 代码改动，前端无感知。

自动 SSL

在控制台「站点管理」里填写域名 → 一键申请 Let’s Encrypt → 30 秒后证书下发完毕，浏览器直接绿锁。

接入 雷池 7 天，我的真实感受

接上雷池，我像给网站换了个“外挂”。

先说最痛的地方：以前每天夜里手机嗡嗡响，不是扫描器撞门就是 CDN 流量爆表。

现在雷池一挡，夜里手机安静得能听见闹钟滴答，第一次体会到“关机也能睡整觉”。

再说证书：以前一到 90 天就得手动续 Let’s Encrypt，忘了就浏览器大红锁。现在勾选“自动续”，证书自己换，用户永远看到小绿锁，我再也不用半夜爬起敲命令。

部署也省事。群晖小盒子，跟着文档跑一条 Docker 命令，五分钟就把 NAS 升级成堡垒。风扇不再狂转，温度降了十几度，电费都跟着省。

最爽的是手机看报表。上班路上点开后台，攻击次数、拦截详情、流量曲线一页全有。老板问“今天安全咋样”，我直接把截图甩群里，三秒解决，比回女朋友微信还快。

一句话：网站装上雷池，就像给家换了智能门锁——坏人进不来，好人无感，我终于能按时下班。

结语

把雷池 WAF 当作前端“安全中间件”后，我们团队：

• 凌晨 3 点不再被监控报警吵醒

• CDN 账单直接腰斩

• 代码泄露风险肉眼可见地下降

如果你也厌倦了“人肉挡枪”，给前端架构加一层雷池，5 分钟，值得试试。