在云计算时代，网站上线并不难，真正的挑战是 如何让网站安全、稳定地运行。一个普通的 Web 应用上线后，很可能面临各种攻击：大规模 DDoS 洪水、恶意爬虫（Bot）、SQL 注入、跨站脚本（XSS）……如果没有有效的防护机制，轻则影响访问速度，重则直接导致业务宕机、数据泄露。

在 AWS 的生态里，CloudFront（CDN 加速）+ WAF（Web 应用防火墙） 正是一个常见且高效的组合。前者负责分发与加速，后者负责防护与过滤，两者协同，可以显著提高应用的安全性和可用性。本文将从原理、功能、常见攻击防护、典型架构、实践经验几个角度，带你深入了解这一套方案。

---

一、为什么要把 WAF 和 CloudFront 结合？

1. CloudFront 提供全球加速 + 边缘防御
   CloudFront 本质是一个 CDN，它在全球拥有数百个边缘节点。正常用户请求会被就近调度，访问更快；攻击流量也会先被引流到边缘，而不是直接打到源站，降低了源站压力。

2. WAF 提供精细化流量过滤
   CloudFront 本身能做一些基础限速、防护，但要抵御应用层攻击，还需要 WAF。AWS WAF 支持自定义规则，可以阻断 SQL 注入、跨站脚本、恶意 IP、可疑 User-Agent 等流量。

3. 二者联动的优势

   • 防御面更靠前：攻击流量在边缘节点就被拦截，源站“零感知”。

   • 性能损耗小：不需要把流量拉回源站再处理，降低带宽和计算资源消耗。

   • 自动化调度：可结合 AWS Shield（防 DDoS 服务）自动扩展防护能力。

---

二、CloudFront + WAF 的核心能力

1. 防 DDoS 攻击

DDoS（分布式拒绝服务攻击）常见于 UDP Flood、TCP SYN Flood、HTTP Flood 等。

• CloudFront 能吸收大规模流量，因为它的边缘节点带宽和扩展性远超单个源站。

• WAF 能针对 HTTP Flood 等应用层攻击，设置 Rate-based Rule（速率限制规则），对同一 IP 在短时间内的过量请求直接封禁。

2. 防 Bot 与爬虫

恶意爬虫会不停抓取网站，既占带宽又可能窃取内容。

• User-Agent 过滤：WAF 可定义黑名单，屏蔽可疑爬虫 UA。

• IP Reputation List：AWS 提供托管的恶意 IP 情报库，自动拦截来自高风险地址的请求。

• 挑战式验证：通过 JS 或验证码挑战来确认是真人流量。

3. 防 SQL 注入与 XSS

这是最典型的 Web 应用攻击：

• SQL 注入：攻击者通过 URL 参数或 POST 请求注入恶意 SQL，试图窃取数据库数据。

• XSS（跨站脚本）：攻击者在输入框、评论区插入恶意脚本，影响访问用户。

AWS WAF 提供内置规则组（Managed Rule Groups），可以直接启用“SQL Injection Protection”“Cross-Site Scripting Protection”，无需自己手动编写正则。

4. 防止敏感信息泄露

有些攻击者会尝试访问 .git/、/etc/passwd 等敏感路径。通过 WAF 的 URI 路径规则 可以直接拦截这类请求。

---

三、典型架构：CloudFront + WAF 联动流程

请求流程可以概括如下：

用户请求 → 最近的 CloudFront 边缘节点 → WAF 规则过滤
 ↳ 合法流量 → 转发到源站 (S3 / ALB / EC2)
 ↳ 恶意流量 → 在边缘节点直接拦截，源站无感知

这套架构最大的优点就是 防护下沉到边缘，攻击不会集中到源站，从而避免数据库、应用服务器的过载。

---

四、实践经验与优化建议

1. 启用 AWS 托管规则（Managed Rules）
   对于大多数应用，直接开启托管规则即可快速获得 SQL 注入、XSS 等常见攻击的防护。

2. 结合自定义规则

   • 针对业务特点设置白名单/黑名单，例如仅允许特定地区访问。

   • 限制 API 接口请求频率，防止恶意刷接口。

3. 日志与监控

   • 在 CloudFront + WAF 上开启 CloudWatch Logs，实时分析攻击行为。

   • 结合 Athena 或 OpenSearch 进行日志查询，找到攻击模式，进而优化规则。

4. 与 AWS Shield 高级版搭配
   如果业务面临超大规模 DDoS，可以考虑开启 AWS Shield Advanced，获得更强的流量缓解能力。

---

五、结语

在互联网环境下，攻击无处不在。单独依赖源站防火墙已经远远不够，防护必须前置到边缘。AWS 提供的 CloudFront 与 WAF 联动方案，能够兼顾性能与安全，在全球范围内为网站、API、移动应用提供加速与防护。

无论你是个人开发者，还是在运营电商平台、SaaS 服务，把 WAF 和 CloudFront 结合起来，都是提升安全性与可用性的关键步骤。

👉 下一篇，我们将继续探讨 “RDS 数据库 + VPC 安全组的安全实践”，从数据层面进一步加强保护。