静态网站前端是否需要使用 REST API 的 WAF？

Question

我有两个网站

1. www.mysite.com. -->hosted on s3 ，通过 Cloudfront 静态单页应用程序提供。

2. 然后我有api.mysite.com，前端使用的。

我的公司正在使用WAF solution第三方，当前的单体应用程序受到它的保护。

对于新站点，我已将api.mysite.comWAF放在后面，但我不确定是否需要将静态站点也放在 WAF 后面？

这主要是关于防止站点遭受 DDOS 攻击或机器人等，我们之前有很多攻击，所以我想确保我以正确的方式做这件事。

Answer 1

虽然 WAF 主要用于保护活动网站、表单、API 等，但有时也需要在公共静态内容前使用 WAF。

例如：如何使用 AWS WAF、Amazon CloudFront 和 Referer Checking 防止盗链

另一个用例可能是，如果您的某些静态内容不是完全公开的（例如，依赖复杂的随机文件名 - 这并不是说这提供了很大的安全性）并且您想限制暴力访问尝试 - 这也是 WAF 可能会提供帮助的地方。

所以你的问题的答案是：是的，有时 WAF 可能用于静态内容。但是，这些是非常具体的用例，我无法判断它是否与您的网站相关。

另一方面，即使您开始时没有使用 WAF，后来您发现静态内容发生了一些意外的情况，而这些情况可能会用 WAF 解决，您也可以将其打开。这不一定是您需要在一开始就做出的决定。

希望有帮助:)