为什么WAF（Web Aplication Firewalls）不能确保数据库安全？

警告：不要以为有了 WAF 的保护，数据库安全就万无一失了。事实上，数据库仍然存在很大的安全隐患。

Web 应用程序防火墙（WAF）现在已经成为许多商业 Web 网站与系统的基本保护措施，它的确在防范许多针对 Web 系统的安全攻击方面卓有成效，但是 WAF 在面对攻击方式多种多样的 SQL 注入方面还是显得束手无策。

背景知识：什么是 WAF？

Web 应用防火墙（WAF）是一种基础的安全保护模块，主要针对 HTTP 访问的 Web 程序保护，部署在 Web 应用程序前面，在用户请求到达 Web 服务器前对用户请求进行扫描和过滤，分析并校验每个用户请求的网络包，确保每个用户请求有效且安全，对无效或有攻击行为的请求进行阻断或隔离。

WAF 可通过定义一些常见的 SQL 注入特征码对常见 SQL 注入攻击提供防护，比如 SQL 注入代码加入到某些命令或某些输入，这些 WAF 是没有问题的。但是市面上的关系型数据总类非常多，虽然有统一的 SQL 结构化数据查询语言，但是每个数据库的具体实现有非常多的差异，这些差异就导致了多种 SQL 注入攻击方式的产生。因此也就导致了像 WAF 这类安全保护系统在不理解应用程序的上下文，不熟悉数据库类型、命令、结构的情况下，仅仅通过分析网络数据包，加上定义一些数据库特殊字符黑名单ÿ