最近在评估阿里云国际站WAF，业务主要涉及跨境电商网站、对外API接口和普通企业官网。看官方资料后了解到，WAF主要针对HTTP/HTTPS流量进行检测和防护，可以应对SQL注入、XSS、恶意请求、HTTP Flood以及爬虫等Web层风险。
但实际选型时有几个问题还不太确定：
普通企业官网访问量不大，也没有支付功能，这种情况是否有必要接入WAF？
跨境电商网站有登录、注册、订单和支付相关页面，判断是否需要WAF时应该重点看哪些风险？
如果业务主要通过API对外提供服务，WAF和API安全能力分别应该怎么考虑？
网站已经使用CDN、HTTPS和服务器安全产品后，WAF主要补充的是哪一层安全能力？
企业在购买WAF前，应该重点评估流量、QPS、业务类型、攻击情况，还是其他指标？
想请教有实际部署经验的朋友：电商、API和普通企业官网分别在什么情况下建议接入WAF，什么情况下暂时没有必要？ 如果能从业务场景和实际选型角度分享一下判断思路就更好了。
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
我觉得判断要不要上WAF，不能只看“是不是电商网站”，更应该看业务暴露在公网后的攻击面，以及出问题后对业务的影响。
本文由 阿里云国际站代理商『云老大 ✈️✈️✈️飞弟：@yunlaoda360 / YunLaoDa-服务器服务商•撰写』如需转载请注明！
简单来说：
普通企业官网
如果只是展示型网站，没有登录、支付、会员系统，也不保存重要数据，WAF优先级可以低一些。先把HTTPS、系统补丁、安全组、后台权限和备份这些基础安全做好。
但如果用了WordPress、开源CMS、自建后台，或者已经经常遇到扫描、爆破、恶意请求，即使流量不大，也建议评估WAF。
电商网站
一般建议优先考虑WAF。因为电商通常有登录、注册、订单、支付、优惠券、API等动态业务，一旦遇到SQL注入、XSS、恶意Bot、HTTP Flood等问题，影响的不只是网页访问，还可能涉及账号、订单和业务连续性。
API业务
如果只是少量接口，基础WAF防护可以先做起来；如果有大量公网API、App后台或开放平台，还需要进一步关注API资产、未授权访问、敏感数据泄露、接口滥用等问题，不能只靠传统WAF解决。
另外，CDN、HTTPS、服务器安全和WAF不是互相替代的。
HTTPS主要解决传输加密，CDN主要做加速和缓存，服务器安全偏主机层，WAF主要防护HTTP/HTTPS应用层攻击。
采购WAF前，我建议至少先看这几个指标：
一句话总结：
普通展示站按风险决定，电商网站优先考虑，API业务除了WAF还要关注接口本身的安全。
真正应该问的不是“网站流量大不大”，而是：
这个业务一旦被攻击，损失大不大。
企业官网若无用户数据或支付，仅靠CDN+HTTPS通常够用，WAF非必须。电商涉及资金和隐私，极易遭遇撞库、薅羊毛和CC攻击，必须上WAF，重点配置反爬虫和交易风控。
API业务传统WAF对JSON解析和鉴权支持弱，建议结合API网关安全组件，单纯REST接口可用WAF Bot管理覆盖。
WAF核心补位在第7层应用层，能深度解析HTTP内容，这是CDN和网络防火墙做不到的。
选型时别只看QPS，关键看业务敏感度（是否含PII/支付）、历史攻击频率及团队运维能力。
简单说：碰钱、碰用户数据必装；纯展示可省；API复杂则需叠加专业防护。
官方详细解决方案：https://help.aliyun.com/zh/waf/
