介绍
WAF是通过检测应用层的数据来进行访问控制或者对应用进行控制，而传统防火墙对三、四层数据进行过0滤.从而进行访问控制，不对应用层数据进行分析。
常见形态
1.硬件形式（透明桥接模式、旁路模式、反向代理等多种方式接入）
2.软件形式，必须安装在服务器上。因为它必须安装在Web应用服务器上，除了性能受到限制外，还可能会存在兼容性、安全等问题。这类WAF的代表有ModSecurity、Naxsi、网站安全狗等
3.基于云的软件或硬件形态。
基本原理：
WAF利用服务器API去获取应用层数据，然后匹配自己的规则库，利用正则表达式来分析判断数据的合法性，生成白名单，黑名单，最后，进行访问控制。
特点：
WAF功能有天然缺陷，他只对request和response感兴趣，却不重视Web应用本身。另外，WAF对注入类漏洞比如多阶注入是没什么办法的。
