保护网站免受攻击：OpenResty与开源WAF的结合实践
内容提要
OpenResty是基于nginx的Web应用服务器，支持Lua脚本和第三方模块，实现高性能、可扩展、易开发的Web应用程序。WAF是一种保护Web应用程序免受恶意攻击的安全解决方案，可拦截和过滤恶意流量，防止常见的Web攻击。开源WAF支持IP白名单和黑名单、URL白名单、User-Agent过滤、CC攻击防护、Cookie过滤等功能。部署WAF需要测试Lua脚本、安装部署WAF、配置WAF主要文件和调用Lua脚本。
延伸解读
OpenResty 与 WAF 的协同优势
OpenResty 基于 nginx 并支持 Lua 脚本，能直接嵌入 WAF 逻辑，无需额外反向代理层。这种结合让 WAF 在请求处理阶段实时拦截恶意流量，同时保持高性能和可扩展性。文章中的部署示例显示，通过 access_by_lua_file 调用 WAF 脚本，即可在 nginx 层面实现防护，适合需要灵活定制安全策略的场景。
开源 WAF 的防护能力与配置要点
该开源 WAF 提供 IP 黑白名单、URL 白名单、User-Agent 过滤、CC 攻击防护、Cookie 过滤等规则。配置集中在 config.lua，可独立开关各项检查，并设置 CC 攻击频率（如 20/60 表示每分钟同 IP 同 URL 限 20 次）。规则文件存放在 rule-config 目录，便于按需调整。日志为 JSON 格式，方便用 ELK 分析攻击记录。
部署中的关键细节与常见问题
部署前需测试 Lua 环境，确保 OpenResty 能正常执行 Lua 脚本。获取客户端真实 IP 时，若经过多级代理，X-Forwarded-For 可能包含多个 IP，代码只取第一个。常见错误是全局变量导致竞争条件，如 CLIENT_IP 未加 local 修饰，会触发警告，需修改 lib.lua 添加 local。配置完成后用 nginx -t 检查并重载服务。
Q&A
OpenResty是什么？
OpenResty是一个基于nginx的Web应用服务器，支持Lua脚本和第三方模块，能够实现高性能和可扩展的Web应用程序。
WAF的主要功能有哪些？
WAF的主要功能包括拦截SQL注入、跨站脚本攻击、CC攻击防护、IP白名单和黑名单、URL过滤等。
如何部署开源WAF？
部署开源WAF需要测试Lua脚本、下载WAF、配置主要文件并调用Lua脚本，最后重载nginx服务。
WAF如何保护Web应用程序？
WAF通过拦截和过滤恶意流量，防止常见的Web攻击，保护敏感信息，并可以与其他安全组件结合使用。
WAF支持哪些过滤功能？
WAF支持IP白名单和黑名单、URL白名单、User-Agent过滤、Cookie过滤和URL参数过滤等功能。
在配置WAF时需要注意哪些参数？
在配置WAF时需要注意启用状态、日志目录、规则文件存储路径等参数的设置。
