1. 项目概述为什么一个“轻量级WAF”是绝佳的毕业设计选题如果你是一名信息安全技术应用专业的学生正在为毕业设计选题发愁看到“Web应用防火墙WAF”这个词可能会觉得它既熟悉又庞大甚至有点无从下手。确实商业WAF产品如阿里云WAF、腾讯云WAF功能繁杂涉及硬件、软件、云原生等多个层面一个本科毕业设计想要完整复现几乎不可能。但“轻量级”这三个字恰恰是打开这扇大门的钥匙。这个选题的精妙之处在于它要求你抓住WAF最核心、最本质的功能用有限的资源可能只是一台云服务器或你自己的笔记本电脑去实现一个能实际运行、能拦截攻击的原型系统。这不仅能全面检验你在网络、Web、编程、安全攻防等多方面的综合能力其成品本身也是一个极具说服力的“能力证明”远比一个单纯的理论研究或综述报告更有价值。最近网络上有个梗很火“小宁写了个ping功能但没有写wafx老师告诉她这是非常危险的你知道为什么吗” 这个梗背后反映的正是当前开发与安全严重脱节的现状。很多同学甚至一些初级开发者在实现一个Web功能比如一个简单的用户登录、一个查询接口时只关注功能是否跑通完全忽视了外部输入可能带来的安全风险。一个没有防护的Web应用就像一座不设防的城市SQL注入、XSS跨站脚本、命令执行等攻击可以长驱直入。你的毕业设计正是要解决这个“不设防”的问题。通过亲手搭建一个WAF你会深刻理解每一种攻击是如何发生的以及防御机制应该如何构建这种从攻击者视角到防御者视角的思维转换是安全工程师最宝贵的财富。那么这个“轻量级Web应用防火墙”到底要做什么简单说它就是一个部署在Web应用比如你用Spring Boot、Flask、PHP写的网站前面的一个“安检门”。所有来自外部的HTTP/HTTPS请求都要先经过这个安检门的检查。它会用一系列规则去分析请求的内容URL里有没有可疑的SQL关键字POST数据里有没有试图植入的JavaScript脚本Cookie里有没有异常的遍历尝试一旦发现匹配了攻击特征WAF就会果断拦截这个请求并返回一个错误页面比如403 Forbidden同时记录下这次攻击的详情。而合法的请求则会被放行正常转发给后端的Web应用服务器。你的任务就是设计并实现这个“安检门”的核心检查逻辑和流量转发机制。2. 整体架构设计与技术选型思路一个完整的商业WAF架构非常复杂可能包括流量采集、规则引擎、行为分析、机器学习模型、管理控制台等多个模块。但对于我们的轻量级原型必须做减法聚焦最核心的链路流量拦截 - 规则匹配 - 处置动作。基于这个思路我推荐一种经典、高效且易于实现的架构反向代理模式。这也是Nginx、Apache等Web服务器实现负载均衡和基础过滤的常见方式。2.1 核心架构反向代理模式为什么选择反向代理模式首先它部署简单无需修改后端Web应用的任何代码。其次它对流量有完全的控制权可以在请求到达后端之前和响应返回给用户之后这两个关键节点进行检测和过滤。最后这种模式性能损耗相对可控非常适合原型验证。我们的轻量级WAF将作为一个独立的进程运行。它监听某个端口比如80或8080对外扮演Web服务器的角色。真正的Web应用我们称之为“后端”运行在另一个端口比如3000或8081。当用户访问http://your-waf-ip:80时流量首先到达WAF。WAF完成安全检测后如果请求合法它会以客户端的身份将请求原样或经过适当修改后转发到http://localhost:3000再将后端返回的响应经过检测后返回给用户。这个过程对用户和后端都是透明的。2.2 技术栈选型与理由技术选型直接决定了开发效率和最终原型的表现。以下是针对不同技术背景同学的推荐方案方案一Python Flask推荐给大多数同学核心组件 FlaskWeb框架、Requests库转发请求、re正则表达式用于规则匹配。优势 Python语法简洁开发速度快。Flask框架轻量灵活可以快速搭建一个HTTP服务器。正则表达式库强大便于实现基于正则的规则匹配。生态丰富方便集成日志、配置管理等功能。适合场景 希望快速实现核心逻辑专注于安全算法而非高并发性能。这也是本次设计示例将主要采用的思路。方案二Go (Golang)核心组件 标准库net/http即可满足大部分需求。优势 静态编译部署简单一个二进制文件。原生并发模型goroutine性能优异能更好地模拟高并发下的WAF行为。代码执行效率高。适合场景 对性能有更高要求或希望深入学习一门在云原生和安全领域广泛使用的语言。方案三Node.js核心组件 Express或Koa框架、http-proxy-middleware中间件。优势 事件驱动、非阻塞I/O适合I/O密集型的代理场景。JavaScript前后端统一对于全栈同学更友好。适合场景 熟悉JavaScript/TypeScript技术栈或希望WAF能方便地与前端管理界面集成。注意 选择你最熟悉的语言。毕业设计的核心是展示你对安全原理的理解和工程实现能力而不是比较语言优劣。用熟悉的工具能让你更专注于业务逻辑。2.3 原型系统模块划分一个结构清晰的系统有助于编码和答辩陈述。建议将你的WAF原型划分为以下模块主控模块 负责启动服务、加载配置、协调各模块工作。HTTP代理模块 实现反向代理的核心功能正确接收、解析、转发HTTP请求和响应。规则引擎模块 这是WAF的“大脑”。负责加载规则文件如自定义的JSON或YAML并提供匹配接口。规则应至少包含规则ID、描述、匹配位置URL、参数、Header等、正则表达式模式、处置动作放行、拦截、记录。检测模块 这是WAF的“手脚”。它调用规则引擎对代理模块截获的请求和响应进行多维度检查如SQL注入、XSS、路径遍历等。日志与审计模块 将所有拦截事件、可疑请求详情IP、时间、URL、攻击载荷记录到文件或数据库中这是事后分析和展示成果的关键。管理接口模块可选但加分 提供一个简单的Web页面或API用于动态开启/关闭防护、查看实时拦截日志、临时添加黑白名单等。3. 核心安全规则设计与实现详解规则是WAF的灵魂。一套好的规则应该在误报把正常请求拦了和漏报把攻击请求放了之间取得平衡。对于毕业设计我们不需要追求成百上千条的商业规则集但必须实现几种最常见、最经典的攻击检测逻辑并讲清楚其原理。3.1 SQL注入检测规则SQL注入的原理是攻击者将恶意的SQL代码插入到Web应用的输入参数中欺骗后端数据库执行非预期的命令。检测思路 在请求的URL查询字符串Query String、POST表单数据Body、Cookie等位置搜索典型的SQL关键字和操作符。注意不能简单匹配“SELECT”、“UNION”等单词否则会误伤很多正常请求比如搜索功能可能包含“union”这个词。规则设计要点关注语法片段 攻击载荷通常不是孤立的单词而是包含语法特征的片段。例如 OR 11永真条件绕过UNION SELECT联合查询; DROP TABLE语句结束与危险操作sleep(或benchmark(时间盲注函数AND 11、AND 12逻辑测试使用正则表达式 正则表达式能更精准地描述这些模式。例如检测永真条件尝试/(\x27|)(\s*)(OR|AND)(\s).?(\x27|)?(\s*)(\s*)(\x27|)/i。这个正则匹配了 OR ‘1’‘1这种结构。规避误报大小写与混淆 SQL关键字可能被写成SeLeCt、uNiOn正则需忽略大小写/.../i。编码与注释 攻击者会用%20空格、/**/注释分割关键字如UNION/**/SELECT。我们的正则需要能容忍一定的空白符和注释。上下文判断进阶 更高级的检测会结合参数名。例如在username参数里出现UNION SELECT比在search参数里出现可疑度更高。原型中可以简单实现一个“高危参数名”列表如iduserquery。示例规则条目JSON格式{ id: 1001, name: SQL Injection - Tautology, description: 检测SQL注入永真条件绕过尝试, action: block, // 处置动作拦截 location: [args, body, headers], // 检测位置URL参数、请求体、请求头 pattern: /(\\x27|)(\\s*)(OR|AND)(\\s).?(\\x27|)?(\\s*)(\\s*)(\\x27|)/i, severity: high }3.2 跨站脚本XSS检测规则XSS攻击的原理是攻击者在Web页面中插入恶意脚本当其他用户浏览该页面时脚本会被执行从而盗取用户Cookie、会话信息或进行其他恶意操作。检测思路 在请求参数和响应内容中查找HTML/JavaScript标签、事件处理器或伪协议的开头。规则设计要点检测请求中的攻击载荷 攻击者提交的数据中可能包含脚本标签scriptalert(1)/scriptimg srcx onerroralert(1)事件属性onmouseover,onloadJavaScript伪协议javascript:alert(1)SVG等标签svg onloadalert(1)检测响应中的攻击成功迹象进阶 真正的WAF还会检查后端返回的HTML看用户输入是否被未经转义地输出到了页面中。这在原型中实现较复杂但可以作为一个亮点提及。正则表达式示例 检测基本的脚本标签/script[^]*.*?\/script/i。检测常见事件属性/on\w\s*/i。规避误报 很多正常内容也可能包含和比如数学公式、代码分享。因此XSS规则通常需要更精细的调校或者结合其他上下文信息。在原型中可以先将规则阈值设高主要拦截非常明显的攻击模式。3.3 路径遍历与文件包含检测攻击者利用Web应用对文件路径参数控制不严的漏洞尝试访问系统敏感文件如/etc/passwd或包含恶意脚本。检测思路 在文件名、路径参数中查找目录遍历序列../..\和对敏感文件的引用。规则设计要点匹配遍历序列 简单的正则如/\.\.\//或/\.\.\\/可以匹配../和..\。但要注意攻击者可能使用编码如%2e%2e%2f../的URL编码或..%252f双重编码。匹配敏感文件路径 可以维护一个敏感文件列表的正则如/(etc\/passwd|boot\.ini|win\.ini|\.htaccess)/i。结合参数名 对名为file、path、include、template的参数进行重点检查能有效降低误报。3.4 规则引擎的实现技巧规则热加载 将规则存储在单独的配置文件如rules.json中。在WAF启动时加载并可以设计一个信号监听如修改配置文件后发送SIGHUP信号实现不重启服务就更新规则。这体现了工程化思维。性能优化 正则匹配是CPU密集型操作。可以对所有规则的正则表达式进行预编译Python的re.compile并在内存中缓存避免每次请求都重新编译。匹配流程 采用“首次匹配即跳出”策略。当一个请求触发某条规则后立即执行处置动作记录或拦截不再继续匹配剩余规则提升效率。白名单机制 实现一个简单的白名单功能对于特定的IP或URL路径如管理后台登录接口/admin/login 在未做好防护时可能频繁误报可以跳过所有检查。这是保证业务可用性的重要设计。4. 原型实现步骤与核心代码剖析让我们以Python Flask方案为例勾勒出核心的实现步骤和代码片段。假设你的项目目录结构如下lightweight-waf/ ├── app.py # 主程序入口 ├── config.yaml # 配置文件 ├── rules/ # 规则目录 │ └── default.json # 默认规则集 ├── engine/ # 规则引擎模块 │ ├── __init__.py │ └── rule_engine.py ├── proxy/ # 代理模块 │ ├── __init__.py │ └── http_proxy.py └── logs/ # 日志目录4.1 步骤一搭建反向代理骨架首先我们需要一个能接收请求并转发的基础Flask应用。app.py骨架代码from flask import Flask, request, Response import requests from engine.rule_engine import RuleEngine import logging import yaml # 加载配置 with open(config.yaml, r) as f: config yaml.safe_load(f) WAF_HOST config[waf][host] WAF_PORT config[waf][port] BACKEND_URL config[backend][url] # 例如http://localhost:3000 RULES_FILE config[rules][path] # 初始化规则引擎和日志 rule_engine RuleEngine(RULES_FILE) logging.basicConfig(filenamelogs/waf.log, levellogging.INFO, format%(asctime)s - %(levelname)s - %(message)s) app Flask(__name__) app.route(/, defaults{path: }) app.route(/path:path, methods[GET, POST, PUT, DELETE, HEAD, OPTIONS]) def proxy(path): 核心代理与检测入口 # 1. 记录原始请求信息 client_ip request.remote_addr full_url request.url method request.method # 2. 安全检查调用规则引擎检测当前请求 check_result rule_engine.inspect_request(request) if check_result[blocked]: # 请求被规则命中记录日志并返回拦截页面 logging.warning(fBLOCKED - IP:{client_ip} - URL:{full_url} - Rule:{check_result[rule_id]} - Payload:{check_result[matched]}) return Response(Request Blocked by WAF, status403, mimetypetext/plain) # 3. 请求未被拦截准备转发到后端 # 构建转发请求的头部可选择性过滤或添加一些头 headers {key: value for (key, value) in request.headers if key ! Host} headers[Host] BACKEND_URL.split(//)[1].split(:)[0] # 设置正确的Host头 # 4. 转发请求 try: resp requests.request( methodmethod, urlf{BACKEND_URL}/{path}, headersheaders, datarequest.get_data(), paramsrequest.args, cookiesrequest.cookies, allow_redirectsFalse # 不自动处理重定向由WAF处理 ) except requests.exceptions.RequestException as e: logging.error(fBackend connection failed: {e}) return Response(Backend Service Error, status502) # 5. 可选对后端返回的响应进行安全检测防XSS数据泄露等 # response_check_result rule_engine.inspect_response(resp) # if response_check_result[blocked]: # logging.warning(fRESPONSE BLOCKED - URL:{full_url} - Rule:{response_check_result[rule_id]}) # return Response(Unsafe Content Blocked, status502) # 6. 将后端响应返回给客户端 excluded_headers [content-encoding, content-length, transfer-encoding, connection] response_headers [(name, value) for (name, value) in resp.raw.headers.items() if name.lower() not in excluded_headers] flask_response Response(resp.content, resp.status_code, response_headers) return flask_response if __name__ __main__: app.run(hostWAF_HOST, portWAF_PORT, debugFalse) # 生产环境务必关闭debug4.2 步骤二实现规则引擎规则引擎负责加载规则文件并提供inspect_request方法。engine/rule_engine.py核心代码import re import json from urllib.parse import unquote_plus class RuleEngine: def __init__(self, rule_file_path): self.rules [] self.load_rules(rule_file_path) def load_rules(self, file_path): 从JSON文件加载规则并预编译正则表达式 try: with open(file_path, r, encodingutf-8) as f: raw_rules json.load(f) for rule in raw_rules: # 预编译正则提高匹配效率 compiled_pattern re.compile(rule[pattern], re.IGNORECASE) if rule.get(pattern) else None rule[compiled_pattern] compiled_pattern self.rules.append(rule) print(fLoaded {len(self.rules)} rules from {file_path}) except Exception as e: print(fError loading rules: {e}) self.rules [] def inspect_request(self, flask_request): 检查Flask请求对象。 返回字典{blocked: True/False, rule_id: None/规则ID, matched: None/匹配到的字符串} # 准备需要检查的数据源 check_targets { full_url: flask_request.url, path: flask_request.path, args: self._flatten_dict(flask_request.args), # GET参数 form: self._flatten_dict(flask_request.form), # POST表单数据 json: self._get_json_data(flask_request), # POST JSON数据 headers: dict(flask_request.headers), # 请求头 cookies: dict(flask_request.cookies) # Cookies } # 遍历所有规则进行检查 for rule in self.rules: if rule[action] ! block: continue # 检查该规则定义的检测位置 for location in rule.get(location, []): target_data check_targets.get(location) if not target_data: continue # 根据数据类型进行匹配 if isinstance(target_data, str): if self._match_string(target_data, rule): return {blocked: True, rule_id: rule[id], matched: target_data} elif isinstance(target_data, dict): for key, value in target_data.items(): # 同时检查参数名和参数值 combined_check f{key}{value} if self._match_string(combined_check, rule) or self._match_string(value, rule): return {blocked: True, rule_id: rule[id], matched: combined_check} elif isinstance(target_data, list): for item in target_data: if self._match_string(item, rule): return {blocked: True, rule_id: rule[id], matched: item} return {blocked: False, rule_id: None, matched: None} def _match_string(self, input_string, rule): 使用预编译的正则进行匹配并处理URL解码 if not rule[compiled_pattern]: return False # 对输入进行URL解码防止编码绕过 decoded_input unquote_plus(input_string) # 尝试匹配原始输入和解码后的输入 return bool(rule[compiled_pattern].search(input_string)) or bool(rule[compiled_pattern].search(decoded_input)) def _flatten_dict(self, multidict): 将Flask的ImmutableMultiDict转换为普通字典处理多值情况 result {} for key in multidict.keys(): values multidict.getlist(key) result[key] values[0] if len(values) 1 else values return result def _get_json_data(self, request): 安全地获取JSON请求体数据 if request.is_json: try: return request.get_json() except: return {} return {}4.3 步骤三编写基础防护规则rules/default.json示例规则集[ { id: 1001, name: SQL Injection - Common Keywords, description: 检测常见的SQL注入关键字, action: block, location: [args, form, json, cookies], pattern: /(union\\sselect|select\\s.\\sfrom|insert\\sinto|update\\s.\\sset|delete\\sfrom|drop\\stable|create\\stable|exec\\s*\\(|sleep\\(|benchmark\\()/i, severity: high }, { id: 1002, name: SQL Injection - Tautology, description: 检测SQL注入永真条件绕过, action: block, location: [args, form, json], pattern: /(\\x27|)(\\s*)(or|and)(\\s).?(\\x27|)?(\\s*)[](\\s*)(\\x27|)/i, severity: high }, { id: 2001, name: XSS - Script Tags, description: 检测HTML脚本标签, action: block, location: [args, form, json], pattern: /script[^]*.*?\\/script/i, severity: high }, { id: 2002, name: XSS - Event Handlers, description: 检测HTML事件处理器属性, action: block, location: [args, form, json], pattern: /on\\w\\s*\\s*[\]?[^\]*[\]?/i, severity: medium }, { id: 3001, name: Path Traversal, description: 检测目录遍历序列 (../), action: block, location: [args, path, form], pattern: /\\.\\.(\\/|\\\\)/i, severity: medium }, { id: 4001, name: Common Web Shell, description: 检测常见Web后门关键字, action: block, location: [args, form, path], pattern: /(eval\\(|system\\(|passthru\\(|shell_exec\\(|phpinfo\\(|base64_decode\\(|assert\\(|file_put_contents\\(|unlink\\(|chmod\\()/i, severity: critical } ]4.4 步骤四配置与运行config.yaml配置文件waf: host: 0.0.0.0 # 监听所有网络接口 port: 8080 # WAF服务端口 backend: url: http://localhost:3000 # 你的真实Web应用地址 rules: path: rules/default.json logging: file: logs/waf.log level: INFO运行与测试确保你的后端Web应用例如一个简单的Flask测试应用运行在http://localhost:3000。在项目根目录下运行python app.py启动你的WAF。此时你的WAF监听在http://localhost:8080。进行测试正常访问http://localhost:8080/应能正常显示后端页面。SQL注入测试访问http://localhost:8080/search?q1 OR 11 应看到403 Request Blocked by WAF的拦截页面同时logs/waf.log文件会记录拦截详情。XSS测试访问http://localhost:8080/comment?textscriptalert(1)/script 同样应被拦截。5. 功能测试、性能评估与优化方向一个能跑起来的原型只是第一步一个合格的毕业设计还需要系统的测试和客观的评估。5.1 如何设计测试用例你需要从“攻”与“防”两个角度来测试你的WAF。有效性测试防得住吗手工测试 使用经典的攻击载荷手动测试。SQL注入 OR 11--admin--1 UNION SELECT username, password FROM usersXSSimg srcx onerroralert(1)svg onloadalert(1)javascript:prompt(1)路径遍历../../../etc/passwd..%2f..%2f..%2fwindows\win.ini命令注入; ls -la| cat /etc/passwd如果你的后端有调用系统命令的功能自动化工具测试谨慎使用 可以使用sqlmap、XSStrike等专业工具对你的WAF保护的后端进行扫描。务必在授权的、隔离的测试环境中进行观察你的WAF日志看是否能拦截这些工具生成的攻击流量。这是证明你WAF有效性的有力证据。误报测试拦错了吗模拟正常用户操作注册、登录、搜索包含“union”、“select”等常见词、发表包含HTML代码段的文章如编程博客。检查这些正常请求是否被错误拦截。如果发生误报需要分析是哪个规则、哪个模式导致的并考虑优化正则表达式或添加白名单。性能测试撑得住吗使用工具如ab(Apache Benchmark) 或wrk对部署了WAF的站点进行压力测试。命令示例ab -n 1000 -c 50 http://localhost:8080/模拟1000次请求并发50个。对比测试 记录直接访问后端http://localhost:3000和通过WAF访问http://localhost:8080的QPS每秒查询数和平均响应时间。计算WAF带来的性能损耗百分比。一个轻量级WAF的性能损耗应控制在10%-30%以内视规则复杂度和服务器性能而定。5.2 性能瓶颈分析与优化思路如果测试发现性能损耗过大可以从以下角度优化规则优化精简规则 合并相似规则移除冗余或极少触发的规则。调整顺序 将最可能命中、或计算最简单的规则放在前面采用“短路匹配”策略。正则优化 避免使用贪婪匹配.*和复杂的回溯尽量使用具体字符集和非捕获组。架构优化异步处理 将日志记录等非关键操作改为异步如写入队列由后台线程处理不阻塞请求响应主流程。缓存机制 对于频繁访问且安全的URL或IP可以设置一个短期缓存在一段时间内跳过规则检查。算法升级 对于大量规则可以考虑使用AC自动机Aho-Corasick算法替代单纯的正则遍历。AC自动机可以在O(n)时间复杂度内检测多个模式串非常适合关键词匹配场景能极大提升效率。这可以作为你毕业设计的一个高级亮点。5.3 原型系统的局限性及未来扩展方向在毕业设计答辩中清晰地阐述自己作品的局限性并给出合理的扩展方向能体现你的思考深度和工程视野。当前原型的局限性基于规则特征匹配 只能防御已知攻击模式对未知的、变形的攻击0day无能为力。这是所有传统WAF的通病。无学习能力 无法根据正常流量建立基线从而识别异常行为。防护维度单一 主要防护应用层攻击对于DDoS攻击、慢速攻击等网络层攻击缺乏防护能力。无HTTPS解密 如果后端使用HTTPS本原型作为反向代理需要配置SSL证书才能解密流量进行检查否则只能做TCP层转发。可行的扩展方向可作为未来工作展望集成机器学习模块 收集正常流量和攻击流量的数据提取特征如参数长度、字符分布、请求频率训练一个简单的二分类模型如逻辑回归、随机森林用于辅助识别异常请求。这能有效应对未知攻击。实现CC攻击防护 基于IP和Session在短时间内对访问频率过高的客户端进行挑战如弹出JS验证码或临时封禁。构建可视化管理界面 使用Vue/React等前端框架配合Flask的API实现一个实时展示攻击地图、拦截统计、规则管理的控制台。支持插件化规则 设计一个插件接口允许用户动态加载自定义的检测模块如专门检测Java反序列化攻击的插件。6. 毕业设计文档撰写与答辩要点代码实现只是毕业设计的一部分优秀的文档和清晰的陈述同样重要。6.1 毕业设计论文/报告结构建议摘要 精炼概括项目背景、目标、采用的核心技术、实现的主要功能以及测试结论。绪论/引言 阐述Web应用安全的重要性传统防护手段的不足引出WAF的必要性并说明“轻量级”设计的意义。相关技术综述 简要介绍HTTP协议、反向代理、正则表达式、SQL注入/XSS等攻击原理、现有开源WAF如ModSecurity的概况。系统需求分析与总体设计 明确功能性需求如SQL注入防护、XSS防护、日志记录和非功能性需求如性能要求、可用性。给出系统架构图反向代理模式、模块划分图。详细设计与实现这是核心章节。对应本文第3、4部分详细说明规则设计思路、规则引擎的工作流程、代理模块的实现细节、关键数据结构与算法如AC自动机如果实现了的话。配上核心代码片段和流程图。系统测试与结果分析 展示你的测试环境、测试用例攻击测试、误报测试、性能测试。用表格和图表展示测试结果如拦截率、误报率、性能对比数据并进行分析。总结与展望 总结项目成果客观分析当前原型的优缺点参考5.3并提出切实可行的后续优化方向。参考文献与致谢。6.2 答辩演示准备技巧现场演示是王道准备一个存在漏洞的测试Web应用如DVWA、bWAPP或自己写一个简单的有漏洞的留言板。先直接攻击它展示漏洞如何被利用如弹出alert框、拖库成功。然后开启你的WAF重复同样的攻击操作展示攻击被干净利落地拦截同时WAF管理界面如果有或日志文件实时显示出红色的拦截告警。这种“攻防对抗”的现场演示极具视觉冲击力能让评委立刻理解你工作的价值。突出重点讲好故事不要平铺直叙地讲代码。用“发现问题 - 分析问题 - 设计方案 - 实现与调试 - 验证效果”的逻辑线来串联你的演讲。重点讲清楚1-2个你最得意的技术点比如“如何用AC自动机优化千条规则下的匹配效率”或者“如何设计规则以降低对正常搜索功能的误报”。准备好问答你的WAF和Nginx的ngx_http_modsecurity_module有什么区别答我们的原型更侧重于可定制化的规则引擎和教学目的代码结构更清晰便于理解和二次开发ModSecurity是工业级产品功能更全但更复杂。如何防御编码绕过的攻击答我们的规则引擎在匹配前会对输入进行URL解码unquote_plus并同时对原始输入和解码后输入进行匹配这能防御一层编码。更高级的防御需要多重解码和规范化。你的WAF性能瓶颈在哪里答主要瓶颈在正则表达式的匹配过程尤其是当规则数量庞大时。我们通过规则预编译、短路匹配来优化未来可以采用AC自动机算法来根本性提升。有没有考虑过误报对业务的影响答有的。我们设计了简单的白名单机制可以对特定IP或URL路径放行。在规则设计上也尽量避免过于宽泛的模式并通过测试来调整。完成这个“轻量级Web应用防火墙”的设计与实现你收获的将不仅仅是一个毕业设计作品。你会对Web安全攻防有第一手的深刻体验对网络编程、系统架构有更扎实的理解而这些正是企业招聘安全工程师、安全开发工程师时所看重的核心能力。从选择一个具体的攻击类型开始实现一条有效的防御规则最终搭建起一个能运行的防护系统这个过程本身就是一次完整而宝贵的工程实践。
