速读摘要：WAF 套餐要按网站规模选——日 PV 1 万以下用基础版，1-10 万用专业版，10-100 万用专业版或企业版，100 万以上需企业版加定制。选套餐的核心是"先算流量基线，再看防护需求，最后留 30% 余量"。本文给出各规模的选择建议和判断清单。
一、按规模选套餐的参考标准
| 规模 | 日 PV | 并发峰值 | 推荐档位 |
|---|---|---|---|
| 个人/小站 | < 1 万 | < 50 QPS | 基础版或免费版 |
| 中小网站 | 1-10 万 | 50-500 QPS | 专业版 |
| 中型业务 | 10-100 万 | 500-5000 QPS | 专业版或企业版 |
| 大型业务 | > 100 万 | > 5000 QPS | 企业版 + 定制 |
注意：日 PV 只是粗略参考，真正要看的是峰值 QPS 和回源带宽。
二、选套餐的四个步骤
第一步：统计流量基线
# 统计日 PV
cat /www/wwwlogs/access.log | wc -l
# 统计峰值每秒请求数
awk '{print $4}' /www/wwwlogs/access.log \
| cut -d: -f1,2,3 | sort | uniq -c | sort -rn | head -5
# 统计月回源流量（示例：按月汇总日志大小）
du -sh /www/wwwlogs/
关注三个数：
├─ 日均 PV
├─ 峰值 QPS
└─ 月回源流量（GB）第二步：明确防护需求
| 需求 | 对应功能 |
|---|---|
| 防 SQL 注入/XSS | 基础规则（各档都含） |
| 防 CC 攻击 | CC 防护模块 |
| 防爬虫/采集 | Bot 管理 + 指纹识别 |
| 防 DDoS | 防护带宽（可能要单独购买） |
| API 安全 | API 防护模块 |
| 合规审计 | 日志留存 + 审计功能 |
第三步：确定预算
在预算范围内选满足需求的最高档位，但不要为了”以防万一”过度购买。
第四步：留 30% 余量
业务会增长，活动会带来流量峰值。选套餐时按当前流量的 1.3 倍来算，避免刚买就超额。
三、不同业务类型的选择建议
| 业务类型 | 重点需求 | 推荐 |
|---|---|---|
| 企业官网 | 稳定、防篡改 | 专业版，重规则防护 |
| 内容/资讯站 | SEO 友好、防爬 | 专业版，注意爬虫白名单 |
| 电商 | 防 CC、保下单链路 | 专业版起，关键页严格 |
| 论坛社区 | 防刷、防爆破 | 专业版，登录接口严格 |
| SaaS/API | Token 鉴权、按请求计费 | 按请求数计费方案 |
| 游戏/下载站 | 带宽、防刷 | 专业版 + 流量优化 |
| 政企站点 | 合规、审计 | 企业版，日志留存要足 |
四、容易选错的两种情况
4.1 选了没人用的高级功能
很多站长冲着”全功能”买了高配版，结果 Bot 管理、API 防护这些根本没用到。正确做法是按当前痛点选——现在被 CC 打就重点看 CC 能力，被采集就重点看 Bot 能力。
4.2 低估了流量规模
看日 PV 觉得不大，但忽略了：一个页面要加载几十个资源，实际请求数可能是 PV 的 20 倍；静态资源如果没走 CDN，全都算回源流量。
示例：日 PV 5 万，看似不大
每个页面平均 30 个资源请求
实际请求数 = 50,000 × 30 = 150 万/天
= 约 17 QPS 平均
但峰值可能是平均值的 5-10 倍
→ 峰值 QPS 可能达到 100-170
所以选套餐要看"请求数"而非"PV"五、升级与降级的灵活性
选套餐时还要考虑后续调整的便利性：
- 是否支持随时升级（流量涨了能快速扩容）
- 升级是否需要补差价、是否影响服务
- 降级是否方便（业务收缩时能省钱）
- 是否有”按需临时提升”的选项（应对活动）
六、小结
选 WAF 套餐的顺序是：统计流量基线（PV/QPS/回源流量）→ 明确防护需求 → 确定预算 → 留 30% 余量。中小网站用专业版通常就够（299 元/月、年付 2399 元这个量级），大站或政企再看企业版。关键是按”实际痛点”选功能，别为用不上的功能付费，也别因低估请求数而频繁超额。
