GitHub 21.8k Star，全球装机超 18 万、守护超百万网站、日均清洗 300 亿次请求。长亭科技用"语义分析引擎"重写了 Web 防护的玩法——它是目前 GitHub 上最受欢迎的 WAF 项目。如果你运维过任何一个对公网开放的网站，你一定见过那种画面：翻开访问日志，满屏都是/wp-login.php的暴力破解、union select的注入探测、../../etc/passwd的路径穿越，还有一堆认不出 UA 的扫描器在你的接口上来回蹭。这些流量里，绝大多数不是"人"，而是自动化的攻击工具在全网撒网。你有两个选择：要么买一套按流量计费、越用越贵的云 WAF；要么自己上 ModSecurity 配一堆规则，然后在"漏报"和"误报"之间反复横跳。前者烧钱，后者烧人。而这一周我想认真聊的雷池 SafeLine，给出了第三条路——开源、自托管、一条命令装好，核心检测还不靠规则库。一、问题背景先说清楚，为什么"传统 WAF"让人又爱又恨。Web 应用防火墙的本职工作，是站在你的网站前面，像门卫一样检查每一个进来的 HTTP 请求：是正常访客，还是带着攻击载荷的坏人。听起来简单，难点全在"怎么判断"。规则库路线的原罪。过去二十年，主流 WAF（包括最经典的开源方案 ModSecurity + OWASP CRS）几乎都建立在"正则规则"之上：安全专家把已知攻击的特征写成一条条正则，流量匹配上就拦。问题是——攻击者只要稍微变个形（大小写混淆、注释穿插、编码嵌套），规则就可能失效；而规则写得太宽，正常业务里一个恰好包含select的字段就被误杀。漏报和误报，是规则库天生的一对孪生诅咒。运维成本高得离谱。规则库需要持续更新、持续调优。一个中型站点上线 WAF，安全团队往往要花好几周做"规则白名单",把业务里被误拦的正常请求一个个加进例外。等业务一改版，又得重来一遍。很多团队最后的选择是——把 WAF 调成"仅记录不拦截",等于摆设。云 WAF 又贵又不放心。云厂商的 WAF 确实省心，但按请求量计费，流量一大账单就吓人；更别提所有流量都要过一遍别人的服务器，对金融、政企、医疗这类对数据主权敏感的场景，这本身就是个合规问题。这三座大山叠在一起，结果就是：大量中小团队的网站，其实处在"裸奔"状态——要么没上 WAF，要么上了个形同虚设的。雷池想解决的，正是这个"想要一个真正好用、还不贵、还能自己掌控的 WAF"的朴素需求。还有一个越来越突出的背景：2026 年的攻击早已高度自动化。漏洞 PoC 从公开到被全网扫描器批量利用，窗口常常只有几个小时。靠人肉更新规则去追这个速度，本质上是场必输的赛跑。防护的逻辑，必须从"记住每一种已知攻击"转向"理解请求本身是不是恶意"。