第三方安全专家建议我们在 Web 服务器（均托管在 DMZ 中）前运行反向代理作为最佳实践安全措施。
我知道这是一个典型的推荐架构，因为它在 Web 应用程序前面提供了另一个级别的安全性以防止黑客。
然而，由于反向代理在用户和内部 Web 服务器之间愉快地来回穿梭 HTTP，它不会提供任何防止对 Web 服务器本身进行黑客攻击的措施。换句话说，如果您的 Web 应用程序存在安全漏洞，代理将不会提供任何有意义的安全性。
并且考虑到攻击 Web 应用程序的风险远高于攻击代理的风险，在中间添加一个额外的框真的有很多好处吗？我们不会使用反向代理的任何缓存功能——只是一个来回传输数据包的愚蠢工具。
还有什么我在这里想念的吗？反向代理 HTTP 数据包检查是否变得如此出色，可以检测到有意义的攻击而没有重大性能瓶颈，或者这只是安全剧院的另一个例子？
反向代理是 MS ISA fwiw。