最近看到飞牛事件，开始认真审视自己对外发布服务的安全性，想向大家请教一些相对成熟、可落地的 Web / WAF 方案。 当前现状 通过 Lucky 作为反向代理对外发布应用 对外暴露面较小，主要是自建服务（ NAS / Web 等） 期望能力 支持 SSL 证书自动申请与续期 （ ACME / Let’s Encrypt ，有尝试过 NPM 或者 cerd ，家庭缺少部分端口，似乎不太好用，也可以大佬分享下） 具备 可用的 WAF 规则集 偏向 自建 / 私有化部署 / 开源 已完成的测试 雷池（ SafeLine ） 整体体验不错，拦截能力和规则集都比较成熟 但日志、分析等关键能力基本在 Pro 版本 对个人 / 自建环境来说 pro 成本偏高，最终放弃 南墙（ OpenWAF ） 能用，部署和使用相对轻量 可控性略弱 ,毕竟不是专业的从业人员。 日常防护可以，但整体不够“顺手” 想请教大家 是否有更合适的 Web / WAF 方案推荐？ 是否有实际长期运行的经验分享（误报率、维护成本、性能等）？ 如果是「反向代理 + WAF + 自动证书」这一套，大家目前都怎么组合？ 感谢分享 🙏