Web应用防火墙（Web Application Firewall，WAF）是一种保护Web应用程序的安全性的解决方案。它可以通过识别攻击性Web请求并且将它们拦截在防火墙之外来保护Web应用程序。在这一过程中，WAF可以通过比较请求中的数据与已知恶意数据的模式来检测攻击。WAF可以横向拦截攻击，即在攻击代码到达Web应用程序之前，阻止它们。

开源的Web应用防火墙可以实现Web应用程序更好的保护，同时可以根据实际情况自定义配置。下面介绍两种开源Web应用防火墙：ModSecurity和Naxsi。

ModSecurity

ModSecurity是一个Web应用程序防火墙引擎，可以帮助识别针对Web应用程序发送的攻击，并阻止它们。它是一款免费的、开源的软件，可用于Apache、Nginx、IIS和其他Web服务器。

ModSecurity提供了一个可扩展的架构，可以包括自定义检测规则、日志记录、真实访问跟踪、SSL和Web服务保护等功能。与OWASP一起发布的ModSecurity内置了一组预定义规则，并支持调整和扩展基于特定Web应用程序的规则。

下面是一个简单的ModSecurity配置文件示例：

SecRuleEngine On
SecRule REQUEST_METHOD "GET" "id:1,phase:1,pass,nolog"
SecRule REQUEST_URI "/^admin\.php\?action=login" "id:2,phase:2,t:none,t:normalisePath,t:lowercase,block,msg:'Admin login from suspicious URI'"
SecRule REQUEST_HEADERS:User-Agent "^$" "id:3,phase:1,t:none,deny,status:400,msg:'Empty User-Agent denied'"

在上述示例中，通过设置“SecRuleEngine On”，开启ModSecurity规则引擎。第一个规则允许通过GET请求。第二个规则防止对指定的admin.php?action=login请求发起攻击。第三个规则拦截User-Agent为空的请求，发送400响应和拒绝访问的消息。