使用CloudFront Functions限制S3站点访问：弃用WAF是否错失关键优势？

如果你的需求只是限制指定IP列表访问静态站点，弃用WAF改用CloudFront Functions不仅不会有显著劣势，反而在成本、性能上有不少优势，具体对比如下：

• 成本更划算：CloudFront Functions按调用次数计费，静态站点请求量通常不大，成本几乎可以忽略；而WAF有基础服务费+请求费，长期下来成本差明显。
• 性能更优：CloudFront Functions在CloudFront边缘节点本地运行，处理延迟比WAF更低（WAF是额外的边缘规则层），对静态页面加载速度影响更小。
• 功能完全满足需求：你的函数逻辑已经实现了IP白名单校验——只要IP不在列表就返回403，完全覆盖了核心需求。WAF虽然支持更复杂的IP规则（比如CIDR批量匹配、地理IP），但如果你的IP列表是固定的单个/小范围IP，CloudFront Functions完全能处理，这些额外功能对你来说没用。
• 维护复杂度相当：你的函数逻辑简单，IP列表变动时只需更新代码并发布；WAF是通过控制台管理IP集，操作也不复杂，但多了一个独立的配置界面，对你来说没必要额外维护。

唯一需要注意的小差异：如果你的IP列表需要频繁变动，WAF的IP集修改无需发布函数，操作更快捷；但如果IP列表很少更新，这点差异可以忽略。

总结：仅针对固定IP列表的访问限制场景，CloudFront Functions是更轻量、高效的选择，完全可以替代WAF。

内容的提问来源于stack exchange，提问作者Talal Najam