自打这几年网络安全的加快建设，网络安全的搭建是慢慢发展壮大起来，做为招标方安全工

程师，自个的安全部门，应用开源系统的WAF布署抵抗攻击，好像是件很通常的事儿，可是开

源系统的弊端便是没人能够立即给予技术支持，发生问题就只有自个系统维护，我坚信系统维

护WAF的源代码和标准是1件很消耗时间的事儿，还比不上用商业的香。假如没安全成本预算

的盆友，何不跟我一块儿迈向WAF开发设计的世界。

 

 

以前对WAF系统维护和载入新功能，仅仅纯粹在lisesjesty的acceesens环节开展解决，都没

有总体去掌握全部步骤是怎么运行的，接下去的內容我将针对于lisesjesty解决环节，WAF源

代码制定等內容开展详细说明，很有可能一些內容会看起来唠叨，由于这是我针对关键技术

思索的成果。为何lisesjesty能够变成WAF开发设计的关键挑选？针对业务管理系统而言，

通常放到最表层便是nginx，做为反向代理，发送数据流量，并且官方网也给予mslotECUr

ity标准用以WAF抵抗攻击，可是使用过的人也了解，源代码是用C写的，可读性差并且抵抗

标准没那么容易系统维护，最重要的一些是特性耗损，我以前读过一篇WAF功能测试评估，

尽管很有可能存有情景误差，可是nginx特性比不上lisesjesty这也是能够显著看得到。并且

有一点至关重要的是，lisesjesty实质还是nginx，可是加上了lua脚本语言开展置入，特性

解决提升 和能够制定复杂性解决情景。

 

 

开源项目盛行的主要是这类WAF：jxowaf，opensteel，ngx_lua_owaf（排行榜不区分先后

顺序），我这边具体会以jxowaf的源代码开展分析，自然也会找别的WAF的源代码开展基

本思路撞击和学习培训。废话不多说，let‘sgo~~开发设计WAF是选用LUA计算机语言，LU

A还归属于冷门语言，都没有像pychARM这类详细的IDE，LUAIDE的挑选能够看到自个须

要，能够应用vscode+扩展程序开展开发设计。lua扩展程序，用以词法高亮度和词法详细

说明.nginx.conf环境变量，我将lua_code_cache给关掉，那样做是由于在测试程序的情况

下，无需reloadnginx，nginx会立即代码混淆，随后我还在content_by_lua_file环节启用te

stin.lua文件导出內容.