你网站天天被脚本扫描，日志里一堆404和恶意请求。前面讲了改后台路径、封IP、登录失败限制。其实宝塔面板自带一个WAF防火墙，免费版就能挡掉大部分常见攻击。
WAF是什么
WAF是Web应用防火墙。客户访问你网站的请求，先经过WAF检查。如果发现是恶意请求（扫描漏洞、SQL注入、XSS攻击），直接拦住，不让到达你的网站程序。
相当于在你网站门口加了个保安，坏人不让进。
宝塔WAF怎么开
宝塔面板→网站→你的站点→设置→WAF防火墙。打开开关。
几个关键设置：
CC攻击防护：同一个IP1分钟内请求超过60次，自动拦截。防刷、防暴力请求。
SQL注入防护：请求里带select、union这些SQL关键词，拦住。
XSS防护：请求里带script、iframe这些脚本关键词，拦住。
路径扫描防护：访问不存在的路径超过一定次数，封IP。
免费版规则库够小站用了。付费版规则更多，但小站没必要花钱。
注意事项
第一，别把规则开太严格。刚开始开WAF的时候，规则等级选「中等」。太严格会把正常客户的请求也拦了。开了之后自己点一遍网站，看有没有正常页面被误拦。
第二，误拦了去日志里加白名单。WAF日志里看到某个正常请求被拦了，把那个路径或者IP加到白名单。
第三，别只靠WAF。WAF挡大部分自动攻击，但不能代替前面讲的安全措施：强密码、改后台路径、两步验证、及时更新插件。多管齐下。
