waf全称是Web Application Firewall，所以，能处理HTTP协议的负载均衡软件，都可以作为Waf。然而，如果性能太差，这个Waf就很容易被轻微的流量攻击打挂，而Nginx性能非常优异，因此常用于Waf。另一方面，Waf需要解析HTTP协议，包括body中的表单信息，纯粹用C语言编写工作量非常大，因此OpenResty常常是Waf的首选。

12月我会讲4节关于Nginx waf的公开课，每周4晚上8点到9点共1小时，你可以关注下

赞同陶老师的说法，WAF是Web 防火墙，代表的是一系列可以处理HTTP协议的负载均衡软件，不限于Nginx、openresty；Nginx可以做WAF，是因为其面对高并发的场景性能优秀；

“手机壳防摔”这个比喻很棒。另外一种描述可以是近源端应用安全防护，也有一些专业模块提供WAF服务。

WAF是针对应用流量的专注防护，基于流量细分和场景的防护模式，好比iPhone手机里安装的自动安全监测的APP，监管所有的进出流量；

NGINX是针对代理和负载为主的场景，NGINX的安全能力是叠加在NGINX上的额外功能，好比iPhone手机加一个手机壳防摔。