仅通过CloudFront分发S3存储的图片时，是否需使用AWS WAF？

建议启用AWS WAF，尤其是当你的图片分发规模较大、或存在针对CloudFront/S3的恶意流量风险时，它能为静态资源分发补上关键的防护层。即使仅分发图片，WAF的防护能力也能帮你避免不必要的资源损耗和安全隐患。

• 阻止流量滥用与恶意爬虫：通过速率限制规则拦截高频批量爬取图片的请求，避免爬虫消耗CloudFront带宽和S3请求配额；也能借助爬虫管理规则识别并拦截已知的恶意爬虫。
• 拦截常见Web攻击：即便分发的是静态图片，仍可能遭遇嵌入恶意payload（如SQL注入、XSS代码）的畸形请求，WAF的托管规则集（如AWS Managed Rules for Amazon CloudFront）可自动拦截这类请求，防止触发服务漏洞或产生异常日志。
• 防止图片盗链：配置Referer规则，仅允许指定域名（比如你的独立Web应用域名）发起的图片请求，阻止未授权网站盗用你的图片资源，降低带宽成本损失。
• 过滤无效请求：拦截格式异常的请求（如超大请求体、非法路径字符、不符合HTTP规范的请求），避免这类请求到达S3，减少不必要的资源消耗和服务错误。
• 增强DDoS防护能力：配合AWS Shield，WAF可针对应用层DDoS攻击（如HTTP/HTTPS flood）进行精细拦截，弥补CloudFront基础DDoS防护在应用层的不足，保障图片分发的可用性。

内容的提问来源于stack exchange，提问作者Sun