UUSEC WAF 7.2.6 介绍与选型指南

目标：面向「自建 Web 应用防火墙 / API 安全网关（WAAP）」的选型读者，系统梳理 UUSEC WAF（中文名"南墙"，简称 uuWAF）的产品定位、核心架构、功能特性、许可与版本节奏，并给出与 SafeLine 雷池、ModSecurity、Coraza、NAXSI 的量化选型对比。 本篇为纯联网溯源篇：全部版本号、星数、许可、评测数据均取自官方仓库与官方站点，正文标注来源与查询日期（2026-10-20），不含任何本地部署验证内容；本组件的安装部署、参数与接口实操由本专栏 《UUSEC WAF Docker Compose 部署指南》、《UUSEC WAF 7.2.6 配置参数详解》、《UUSEC WAF 7.2.6 管理 API 使用详解》 三篇承载。

一、环境信息

本篇是认知与选型篇，不存在本地实验环境，以下为溯源口径说明，供核对数据时效：

• 溯源日期：2026-10-20（版本、星数、许可、评测表均为此日期实查快照）
• 溯源来源：
  • GitHub 仓库 Safe3/uusec-waf（README 与 README_CN、Releases、LICENSE 原文）
  • 官方文档站 waf.uusec.com（docsify 站点，含 FAQ）；官网 www.uusec.com
  • shields.io GitHub 星数徽章接口（星数取整到千位，用于横向量级比较）
• 本组件版本：UUSEC WAF v7.2.6（GitHub Releases 2026-10-12 发布，非预发布）
• 对比对象：SafeLine（雷池）v9.4.2、ModSecurity v3.0.17、Coraza v3.8.1、NAXSI 1.3（均为各仓库 Releases 实查）
• 写作视角：Linux x86_64 服务器、反向代理（云 WAF）接入形态

⚠️ 注意：UUSEC WAF 的 GitHub 仓库主体是 README/文档/安装脚本，核心引擎以官方构建的发行包（Docker Hub uusec/waf 镜像、一键安装脚本）交付，源码不完全开放。仓库 LICENSE 为 BSD-2-Clause（License 原文实查：Copyright (c) 2025, UUSEC Technology），该许可约束的是仓库内脚本与文档，不等于核心引擎开源。这是与 ModSecurity、Coraza、NAXSI 等纯开源引擎选型时的关键差异，见第七章。

二、软件概述

UUSEC WAF 是有安科技（UUSEC Technology）推出的工业级免费 Web 应用与 API 安全防护产品（WAAP），中文名南墙，简称 uuWAF。它采用云 WAF 反向代理模式部署：把域名 DNS 指向 WAF 服务器，由 WAF 反向代理回源到真实网站，从而在流量进入源站前完成攻击检测与拦截。官方称其率先实现流量层、系统层、运行时层三层纵深防御（其中系统层 HIPS 与运行时层 RASP 属商业版能力）。

产品基本盘（来源：GitHub 仓库与官方文档站，查询日期 2026-10-20）：

从版本节奏看该项目处于活跃维护期：v7.2.2（2026-05-26）→ v7.2.3（2026-05-30）→ v7.2.4（2026-06-08）→ v7.2.5（2026-08-05）→ v7.2.6（2026-10-12），约每一至两个月发布一个稳定版。近期两个版本的官方更新说明（GitHub Releases 原文）：

• v7.2.6：SQL 注入检测增强。
• v7.2.5：修复 nginx CVE-2026-42533 与 CVE-2026-56434 漏洞；社区版允许的站点数上限由 10 调整为 16。

💡 技术拓展：WAF 接入模式不止"反向代理"一种，常见模式对比——

接入模式	原理/特点	适用场景与取舍
反向代理（云 WAF 模式）	DNS 指向 WAF，WAF 代理回源	部署最简单、改 DNS 即接入；WAF 需独占 80/443
透明桥接	串接在交换链路，不改 DNS	不改业务配置；需网络层配合，故障影响面大
Web 服务器模块	WAF 以模块嵌入 nginx/Apache	无额外跳数；与宿主强耦合，规则维护门槛高
SDK/库内嵌	引擎以库形式编入应用进程（如 RASP/Coraza SDK）	应用原生集成；改造成本高
云清洗	流量先经云厂商清洗回源	抗 DDoS 强；持续费用高、数据出站

UUSEC WAF 采用反向代理模式（官方 README 明确"采用云 WAF 反向代理模式，默认需要使用 80、443 端口"），这也是 《UUSEC WAF Docker Compose 部署指南》 的接入方式。

三、核心架构

UUSEC WAF 的整体形态是"数据面 + 管理面"分离的一体机式架构，本节依据官方仓库、官方文档站与安装包结构（installer.sh、docker.tgz 内容清单）梳理：

• 数据面：以 nginx 为底座（借助其高性能与 luajit 扩展能力），承载 80/443 站点流量的反向代理、规则引擎匹配、SQL/XSS/RCE/LFI 四种语义分析引擎检测、机器学习异常检测，以及 CDN 静态缓存。
• 管理面：Go 实现的 Web 管理后端，默认监听 HTTPS 4443 端口，站点、证书、规则、日志等均在管理台维护，"所有配置发布后立即生效、无需重启"（官方 README 表述）。
• 元数据库：MySQL 5.7（官方 compose 中服务名 wafdb，宿主端口 6612 映射容器 3306），存放站点、规则与日志数据；官方同时提供低内存 MySQL 配置模板 low-memory-my.cnf。
• 端口矩阵（来源：官方 installer.sh 端口预检与 FAQ）：80/443 为站点 HTTP/HTTPS 流量；4443 为管理台；777、4447 为安装脚本预检端口（官方未逐一说明用途）；6612 为元数据库端口。
• 请求头约定（来源：官方 FAQ）：WAF 转发请求携带 X-Waf-Ip（真实客户端 IP，同 X-Forwarded-For）与 X-Waf-Id（集群中区分 WAF 节点，值取自 /uuwaf/web/conf/config.json）；响应携带 X-Waf-Cache: HIT/MISS 标识 CDN 缓存命中。

三层纵深防御的职责划分（来源：README/README_CN 技术优势章节）：

💡 说明：社区版可用的检测能力集中在流量层。机器学习异常检测（参数白名单建模）在官方功能矩阵中标注为商业版特性，社区版以规则引擎 + 语义引擎为主要防线，选型时不要把 README 顶部宣传的三层防御默认等同于社区版能力。

四、功能特性

以下功能特性来自官方 README、README_CN 与文档站功能矩阵（查询日期 2026-10-20），社区版/商业版差异见章末对比表：

• 智能的 0day 防御：运用机器学习异常检测算法区分 HTTP 正常与攻击流量，对正常流量做白名单威胁建模，自动学习参数特征生成参数白名单规则库，面对突发 0day 漏洞"无需添加规则即可拦截"（官方表述）。
• 语义分析引擎：SQL、XSS、RCE、LFI 四种基于语义分析的检测引擎，配合多种深度解码引擎，对 base64、json、form-data 等 HTTP 内容做真实还原后再检测，抗各种绕过 WAF 的变形攻击，特点是准确率高、误报率低、无需维护庞大规则库。
• 高级规则引擎：面向普通用户的传统规则创建模式 + 面向高级管理员的 Lua 脚本规则编写能力，可编写插件扩展 WAF 功能；规则在管理后台发布后无需重启立即生效。
• 极致 CDN 加速：自研缓存清理功能超越 nginx 商业版的 proxy_cache_purge——除 * 模式匹配外还支持正则表达式匹配 URL 路径的缓存清理；响应头 X-Waf-Cache 可查命中状态。
• 站点与证书管理：管理台添加站点域名与源站 IP；内置 Let's Encrypt 免费证书自动申请与到期自动续期，支持 HTTP-01（要求 80 端口公网可达）与 DNS-01（可签泛域名）两种校验方式。
• 其他防护与管理能力（官方功能矩阵所列）：HTTP flood（CC）防护、后门检测、业务安全、合规审计、日志报表、地域限制、负载均衡、自定义拦截页面、滑动/旋转验证码（验证码图片可扩充至 /uuwaf/captcha/images/）、REST API 管理接口。

版本能力矩阵（官方文档站 Pricing 表，查询日期 2026-10-20）：

⚠️ 注意：社区版 16 个站点的上限是 v7.2.5 起的数值（此前为 10），高于 16 个站点或需要集群管理/脱敏/机器学习时必须走商业授权，选型预算里要把这一点算进去。

五、快速开始（官方安装路径梳理）

⚠️ 本节为官方文档的安装路径梳理，依据官方 README 与 installer.sh 原文整理，不代表本文作者已实测；完整命令、真实回显与踩坑记录见 《UUSEC WAF Docker Compose 部署指南》。

官方把"一键安装"作为唯一主线（无 tar 包/系统仓库等备选安装源）：

# 官方一键安装（要求 root；x86_64；纯净 Linux 服务器）
sudo bash -c "$(curl -fsSL https://waf.uusec.com/installer.sh)"

官方口径下的安装要点（来源：README 与 installer.sh 脚本原文）：

1. 依赖：Docker CE 20.10.14 以上、Docker Compose 2.0.0 以上；脚本检测不到 Docker 会先执行内置的 install-docker.sh（即 Docker 官方 docker-install 脚本）。
2. 端口预检：安装前检查 80、443、777、4443、4447、6612 端口，任一被占用即中止安装——WAF 要接管 80/443，所以官方建议纯净水 Linux 服务器。
3. 落地目录：安装包 docker.tgz 解压到 /opt/waf/，含 docker-compose.yml、manager.sh、install-docker.sh、low-memory-my.cnf；首次启动自动生成 .env 写入随机 32 位 MYSQL_PASSWORD。
4. 管理台入口：浏览器访问 https://<服务器IP>:4443，默认账号 admin、默认密码 #Passw0rd（官方 README 明示，登录后应立即改密）。
5. 接入五步（官方 Quick Start）：登录后台 → 站点管理添加站点域名与网站服务器 IP → 证书管理添加 HTTPS 证书（或申请 Let's Encrypt 免费证书自动续期）→ 到域名服务商把 DNS A 记录指向 WAF 服务器 IP → 访问站点验证，观察 HTTP 响应头 server 字段是否为 uuWAF。
6. 运维管理：bash /opt/waf/manager.sh 提供启动/停止/重启/升级/修复/卸载菜单；升级逻辑是从官方拉取最新 docker-compose2.yml 后拉镜像重建。
7. 管理 REST API：官方 FAQ 说明调用控制台 REST API 时在 HTTP 请求头携带 Api-Token: <令牌>，令牌在管理台"系统设置"中获取。

💡 说明：官方 FAQ 还提到直接以 systemctl restart uuwaf 重启服务的写法，对应非容器化的 systemd 服务形态；但官方当前对外的交付主线是一键安装脚本（内部为容器编排），systemd 形态未见独立发行渠道，生产选型按主线评估。

六、适用场景与限制

结合产品形态与社区版边界，给出选型场景判断（基于官方文档口径与仓库事实）：

适合的场景：

• 中小企业、个人站长希望零费用获得带中文 Web 管理台的反向代理 WAF，且站点数不超过 16 个；
• 已有网站需要不改代码接入防护：改 DNS 即接入，WAF 承担 80/443 回源、证书自动续期（Let's Encrypt）、CC 防护、缓存加速一站式能力；
• 需要Lua 脚本自定义规则/插件扩展复杂漏洞防护，但不想从零维护 nginx + OpenResty 环境的团队；
• 以 API 网关视角做Web + API 一体防护（WAAP），需要 REST API 做自动化运维。

限制与风险（选型前必读）：

• 需独占 80/443：反向代理模式要求 WAF 服务器 80/443 空闲，不能与既有 Web 服务同机共存（除非自行改监听端口，官方 FAQ 指出可在 nginx 层配置中调整，但这偏离官方默认）；
• x86_64 专用：installer.sh 明确仅支持 x86_64，ARM 服务器无法使用官方发行包；
• 社区版能力封顶：16 站点、无集群管理、无数据脱敏、无增强规则、无机器学习/HIPS/RASP，这些能力对应专业版（700 美元/年）与商业版；
• 核心引擎不完全开源：仓库仅含文档与脚本（BSD-2-Clause），引擎以官方镜像/发行包交付，安全审计与二次开发深度受限；相比之下 ModSecurity/Coraza/NAXSI 引擎源码完全可审；
• 依赖单一厂商更新节奏：如 v7.2.5 修复的 nginx CVE 说明底层组件漏洞需等官方发版跟进，无法自行打补丁；
• 反向代理即单点：社区版无集群管理，WAF 宕机即全站入口中断，需自行在外围做高可用。

七、同类选型对比

本节给出 UUSEC WAF 与主流开源 WAF 的量化横向对比。数据来源与口径：版本号取自各仓库 GitHub Releases（最新非预发布 tag）；星数取自 shields.io 徽章接口（千位取整量级值）；许可取自各仓库 LICENSE 徽章实查；查询日期统一为 2026-10-20。

表 1：五产品基础面与交付形态量化对比（来源：GitHub/shields.io，2026-10-20）

表 1 关键差异解读：五者分属三条技术路线——UUSEC WAF 与雷池是"整机交付"路线（开箱即用、自带管理台，但引擎不完全开源）；ModSecurity 与 Coraza 是"引擎+规则"路线（源码完全开放，需自行搭建与运维，Coraza 以 Go 复刻 SecRules 语法）；NAXSI 是"轻量模块"路线（仅 nginx 模块，无管理面）。如何在五者之间选型：

• 如果目标是最快上线、不写规则、有中文界面：优先 UUSEC WAF 或雷池。雷池社区规模（星数约 23k）与版本迭代速度（已到 v9.x）显著领先，生态与社区资料更多；UUSEC WAF 体量更小，但官方自评社区版误报率更低（见表 2），且社区版站点上限（16 个）高于雷池社区版按域名数的限制口径。
• 如果目标是源码可审计、深度定制检测逻辑：选 Coraza（Go 栈、兼容 SecRules、Apache-2.0）或 ModSecurity（生态最成熟、但需注意其治理与支持状态，见下）。
• 如果目标只是给既有 nginx 加轻量防护且不想引入新组件：NAXSI 够用，但要注意其版本与社区活跃度已明显落后（最新 release 1.3）。
• 关于 ModSecurity 的治理与支持状态需要单独说明：Trustwave 于 2021 年 8 月宣布 2024 年 7 月 1 日终止 ModSecurity 商业支持，项目于 2024 年 2 月移交 OWASP 托管（来源：OWASP ModSecurity 项目页与 modsecurity.org 官方 History 页，查询日期 2026-10-20）；引擎仓库现由 OWASP 组织维护，OWASP Core Rule Set（CRS）规则集持续活跃。选 ModSecurity 等于选"成熟规则生态 + 自负运维"，而非"无人维护"。

表 2：官方防护效果评估（来源：官方 README"Effect Evaluation"表，官方自评数据，仅供参考，非第三方测评）

表 2 解读：该表是厂商自评（样本集与评测方法未公开复现），横向可比性有限，但两个数量级结论仍有参考价值——社区版在低误报（0.09%）方向做了工程化取舍，专业版检出率（98.97%）依赖增强规则与商业能力；ModSecurity 裸装 CRS 级别 1 的误报率（17.58%）显著偏高，印证"规则路线需要持续调参运维"的判断。

表 3：UUSEC WAF 社区版与雷池社区版部署边界对比（来源：两仓库官方文档，查询日期 2026-10-20）

表 3 解读：两款国产反代 WAF 社区版部署形态几乎同构（一键脚本、接管 80/443、中文管理台），选型分野主要在社区规模（雷池约 23k 星领先）与防护调校取向（UUSEC 官方自评低误报路线），建议都以小流量灰度实测误报后再定。

八、参考链接

• GitHub 仓库（含 README/README_CN/Releases/LICENSE）：https://github.com/Safe3/uusec-waf
• 官方文档站（一键安装、FAQ）：https://waf.uusec.com/
• 官方 FAQ（管理端口/REST API/缓存头等）：https://waf.uusec.com/#/guide/problems
• 官网（产品与商业版信息）：https://www.uusec.com/
• 官方 Docker 发行页：https://hub.docker.com/r/uusec/waf
• 对比对象仓库：https://github.com/chaitin/SafeLine、https://github.com/owasp-modsecurity/ModSecurity、https://github.com/corazawaf/coraza、https://github.com/nbs-system/naxsi
• ModSecurity 治理沿革：https://owasp.github.io/www-project-modsecurity/、https://modsecurity.org/history/
• 星数口径：shields.io GitHub Stars 徽章接口（千位取整），查询日期 2026-10-20