我们使用长亭雷池的 WAF 测试工具 https://github.com/chaitin/blazehttp 对 1Panel WAF 进行了测试。
得到了如下结果，并与长亭提供的其他测试结果进行了对比，给大家做一个参考。
| 指标 | CloudFlare，免费版本 | ModSecurity，PARANOIA级别1 | ModSecurity，PARANOIA级别4 | 1Panel WAF |
|---|---|---|---|---|
| 总样本数量 | 33669 | 33669 | 33669 | 33669 |
| 成功 | 33350 | 33669 | 33669 | 33669 |
| 错误 | 319 | 0 | 0 | 0 |
| 检测率（越高越好） | 10.70%（恶意样本总数：570，正确拦截：61，漏报：509） | 69.74%（恶意样本总数：575，正确拦截：401，漏报：174） | 94.61%（恶意样本总数：575，正确拦截：544，漏报：31） | 59.83%（恶意样本总数：575，正确拦截：344，漏报：231） |
| 误报率（越低越好） | 0.07%（正常样本总数：32780，正确放行：32757，误报：23） | 17.58%（正常样本总数：33094，正确放行：27275，误报：5819） | 52.46%（正常样本总数：33094，正确放行：15732，误报：17362） | 1.07%（正常样本总数：33094，正确放行：32740，误报：354） |
| 准确率（越高越好） | 98.40%（正确拦截 + 正确放行）/ 总样本数量 | 82.20%（正确拦截 + 正确放行）/ 总样本数量 | 48.34%（正确拦截 + 正确放行）/ 总样本数量 | 98.26%（正确拦截 + 正确放行）/ 样本总数 |
| 平均时间 | 288.96 毫秒 | 31.15 毫秒 | 28.89 毫秒 | 20.58 毫秒 |
后续 WAF 的计划：
- 针对单个 URL 增加 CC 防御
- QPS 升高自动开启人机验证
- 自定义规则增加不包含
- 增加应用模版
- 自定义规则增加请求类型
- 拦截记录建议增加攻击方源端口
- 拦截记录批量加白名单 批量拉黑 IP