phpwaf是第三方编写的轻量级php脚本型waf，支持apache、nginx等能执行php并支持auto_prepend_file的服务器；需php 7.2+、mbstring和filter扩展；跨平台部署需处理路径分隔符、文件权限及环境变量读取差异。
PHPWAF 不是官方 PHP 内置组件，也不是主流开源 WAF（如 ModSecurity、Naxsi、雷池 WAF）的原生模块——它本质上是一类由第三方开发者编写的、以 PHP 脚本形式实现的轻量级 Web 应用防火墙逻辑，常见于小型项目、静态博客防护或教学演示场景。它的“支持环境”取决于具体实现方式，而非统一标准。
哪些 Web 服务器能跑 PHPWAF？
只要能执行 PHP 脚本、支持请求前置拦截（如通过 auto_prepend_file 或 include 入口统一加载），就可部署：
• Apache：通过 .htaccess + php_value auto_prepend_file 实现全局加载
• Nginx：需配合 fastcgi_param PHP_VALUE "auto_prepend_file=/path/to/waf.php"（注意：某些 PHP-FPM 配置会禁用该参数）
• Lighttpd、Caddy（启用 php_fastcgi 时）也支持，但需手动配置入口注入点
⚠️ 常见失败点：auto_prepend_file 在 php.ini 中被设为 none，或运行用户无读取权限，导致 WAF 完全不生效
PHPWAF 对 PHP 版本和扩展的硬性依赖
绝大多数 PHPWAF 脚本仅依赖基础函数，但关键兼容点必须核对：
• PHP 7.2+ 是安全底线（filter_var()、preg_match() 行为更稳定）
• PHP 8.0+ 下需检查是否使用了已废弃的 /e 修饰符（preg_replace）或 create_function —— 这类代码在 8.x 直接报 Fatal error
• 必需扩展：mbstring（中文路径/参数检测）、filter（输入校验）
• 可选但强烈建议：json（日志结构化）、curl（对接外部威胁情报）
? 小技巧：用 php -m | grep -E "(mbstring|filter|json)" 快速确认扩展是否启用
Windows / Linux / macOS 跨平台差异在哪？
脚本层基本无差异，但实际部署时有三处隐性不兼容：
• 路径分隔符：__DIR__ . '/rules/' 在 Windows 下可能因反斜杠转义出错，建议统一用 str_replace('\', '/', __DIR__) 或 dirname(__FILE__)
• 文件权限控制：chmod() 在 Windows 无效，若 WAF 含日志轮转或规则热更新逻辑，需加 if (PHP_OS_FAMILY !== 'Windows') 分支
• 环境变量读取：getenv('REMOTE_ADDR') 在某些 CGI 模式下为空，应改用 $_SERVER['REMOTE_ADDR'] ?? $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '0.0.0.0'
⚠️ 最容易被忽略的是：部分 PHPWAF 示例直接写死 /etc/phpwaf/rules/，在 Windows 下必然 file_get_contents() 失败
为什么你配好了却没拦截效果？
不是环境不支持，而是触发逻辑被绕过：
• 没覆盖全部入口：只在 index.php include 了 WAF，但 API 接口走的是 api/v1/user.php，完全漏防
• GET 检测强，POST 和 JSON 请求体未解析（很多脚本只处理 $_GET 和 $_COOKIE）
• 正则规则过于宽松，比如用 /unions+select/i 匹配 SQL 注入，但攻击者发 uni%00on%00select 就绕过
• 日志写入失败且无错误提示，你以为在运行，其实早因 open_basedir 限制卡在第一步
真实跨平台可用的 PHPWAF 很少靠“自动适配”，更多靠部署时手工补丁——尤其路径、输入源、编码判断这三块，不细看源码根本踩不准。
