CloudFront附加WAF是否影响网站流量的技术确认请求

为什么你的负载测试没观察到差异？ #

• WAF的核心逻辑：WAF本质是规则驱动的流量过滤器，只有当请求匹配到你配置的拦截/管控规则时，才会介入处理。如果你的JMeter测试用例都是完全符合业务规范的合法请求，WAF不会对这类请求做任何拦截或额外限制，流量表现和未启用WAF时一致是正常结果。
• 测试场景未触达WAF规则：如果你的测试没有构造触发WAF规则的请求（比如SQL注入 payload、恶意User-Agent、超过速率阈值的请求等），WAF只会对请求做规则检查但不干预，这种情况下流量的吞吐量、响应表现不会有明显变化。

WAF会影响流量的几种场景 #

• 恶意请求被拦截：当请求命中WAF拦截规则时，WAF会直接返回403等拦截响应，这部分请求不会抵达后端服务器。此时整体流量的有效请求量会下降，同时错误请求占比上升。
• 规则检查带来的延迟：即使不拦截，WAF对每个请求都会执行规则匹配检查，会带来几毫秒级的额外延迟。低并发场景下这种延迟很难察觉，但高并发时可能会累积放大，导致整体响应时间变长。
• 速率限制触发：如果配置了速率限制类规则，当请求量超过设定阈值时，WAF会触发限流动作，此时部分请求会被拦截，流量吞吐量会明显下降。

验证WAF是否正常工作的方法 #

• 构造规则触发测试：手动构造符合WAF拦截规则的请求（比如在URL参数中加入' OR 1=1--这类SQL注入特征串），分别在启用/禁用WAF的状态下测试，对比请求是否被拦截、流量数据的差异。
• 查看WAF日志：在CloudFront控制台开启WAF日志，通过日志记录确认是否有规则匹配的条目，以此验证WAF是否在处理请求。
• 精确统计响应延迟：在JMeter中启用更精细的响应时间统计（比如95分位、99分位延迟），对比两种场景下的延迟数据，排查是否存在细微的性能差异。

内容的提问来源于stack exchange，提问作者Roronoa Zoro