阿里云国际版 阿里云 WAF vs AWS WAF：针对国内 CC 攻击与 Web 安全防御能力对比
如果业务用户主要在中国大陆，选择 WAF 时不能只比较规则数量。真正影响结果的是流量从哪里接入、域名是否备案、源站位于哪里、CC 攻击是否包含大量动态请求，以及账号能否完成认证和持续付款。下面按实际决策过程拆解。
先给结论：国内 CC 攻击场景怎么选
| 业务场景 | 更适合的方案 | 主要原因 |
|---|---|---|
| 用户和源站都在中国大陆 | 阿里云中国站 WAF | 大陆节点接入方便，域名备案、企业认证、日志排查和 CC 规则调整路径更直接 |
| 用户在国内，源站在香港、新加坡 | 先测试阿里云国际站 WAF 或阿里云中国站跨境回源 | 需要重点验证大陆访问延迟、跨境链路波动及可用节点，不能只看控制台配置 |
| 业务已运行在 AWS CloudFront、ALB 或 API Gateway | AWS WAF | 接入改动少，可通过 Rate-based Rule、Bot Control 和托管规则逐步加固 |
| 国内突发 CC，攻击集中在登录、查询、下单接口 | 阿里云 WAF 通常更容易快速落地 | 可按 URI、IP、会话特征和访问频率组合限速，但仍需结合业务接口设计 |
| 攻击规模很大，同时伴随网络层 DDoS | WAF 加高防或 AWS Shield 体系 | WAF 处理的是应用层请求，不能代替网络层抗 DDoS 服务 |
国内 CC 防御的关键不是“哪家一定拦得更多”，而是谁能把攻击流量稳定引到清洗节点，并在不误伤真实用户的情况下快速调整策略。若大陆用户访问海外 CloudFront 再回源海外区域，即使 AWS WAF 成功拦截攻击，请求延迟和跨境网络抖动仍可能影响业务。
账号不要购买：应从官方主体开通
不少用户搜索“阿里云账号购买”或“AWS 成品账号”，实际目的是绕过认证或解决信用卡问题。此类账号的风险通常高于节省的时间：注册邮箱、手机号、付款卡和企业主体不一致时，后续可能触发补充验证；一旦原注册人申诉，域名、日志、证书和安全策略都可能无法取回。
阿里云中国站的实际开通顺序
- 使用长期可控的手机号和邮箱注册账号。
- 个人业务完成个人实名认证；公司网站建议直接使用营业执照对应主体完成企业认证。
- 需要大陆节点接入时，先核对域名 ICP 备案状态及备案主体。
- 充值或绑定可用支付方式，再开通 WAF 套餐。
- 添加域名，修改 DNS 或 CNAME，完成回源地址、证书和健康检查配置。
- 先观察日志，再逐步启用 CC 防护和严格规则，避免上线即误封。
AWS 的账号与区域限制
AWS 全球区域账号通常需要邮箱、联系电话和可完成验证的国际信用卡或借记卡，账单以按月扣款为主，不采用国内用户熟悉的余额充值模式。AWS 中国区域由本地运营方运营，账号、合同、账单及控制台体系与 AWS 全球账号分离，不能认为注册一个全球账号就能直接使用北京或宁夏区域。
企业若计划使用 AWS 中国区域，应提前准备中国境内主体资料、联系人信息和业务用途说明。仅有海外公司、没有境内主体时，开户和资源使用条件需要向对应运营方确认。
国内 CC 防护能力：差异主要发生在策略落地
| 对比项 | 阿里云 WAF | AWS WAF |
|---|---|---|
| 频率控制 | 可围绕 URL、客户端特征、访问频率等配置 CC 防护，国内业务排查路径较短 | 以 Rate-based Rule 为核心，可结合 IP、请求字段及 Scope-down Statement 缩小统计范围 |
| 自动化请求处理 | 需要根据版本启用 Bot 管理、挑战或滑块等能力 | 可使用 Bot Control、Challenge、CAPTCHA，相关请求可能产生附加费用 |
| 国内访问链路 | 使用中国站大陆节点时通常更符合大陆业务链路 | 全球区域资源面向大陆访问时，延迟和稳定性必须实测 |
| 接入对象 | 适合已有阿里云 CDN、SLB、ECS 或公网源站的业务 | 与 CloudFront、ALB、API Gateway、AppSync 等 AWS 资源关联更方便 |
| 规则维护 | 套餐化能力较多，适合希望快速配置的团队 | 规则组合自由度高，但规则容量、托管规则组和优先级需要持续管理 |
例如，一个票务查询接口平时每秒 300 次请求，活动开始后正常峰值达到每秒 2,000 次，攻击时达到每秒 15,000 次。直接设置“单 IP 每分钟 100 次”会误伤公司出口、校园网和运营商 NAT 用户。更稳妥的做法是：
- 静态页面、登录接口、查询接口分别设置阈值。
- 对登录和短信接口同时检查账号、设备、会话及 IP，而不是只看 IP。
- 先使用观察或计数模式运行 24 至 72 小时，记录正常峰值。
- 达到较低阈值时触发 Challenge，达到更高阈值后再阻断。
- 对可信回调、搜索引擎和企业出口设置范围严格的例外规则。
AWS WAF 可以用多条 Rate-based Rule 实现分层处理；阿里云 WAF 可通过 CC 防护模板、自定义规则及 Bot 相关能力实现类似目标。最后效果取决于请求字段是否可信，以及源站是否还允许绕过 WAF 直接访问。
阿里云国际版 充值、续费和支付方式的实际差异
阿里云中国站：企业通常可使用支付宝、网银、账户余额等方式付款，具体入口以账号和订单显示为准。包年包月资源要关注到期时间与自动续费余额。WAF 到期后若防护链路或 DNS 配置未及时处理，可能出现业务中断或流量绕回源站。
阿里云国际站：常见方式是国际银行卡及账号所在地区支持的其他渠道。付款卡国家、注册地区、手机号和登录 IP 差异过大时，更容易进入审核。国际站余额、优惠和合同通常不能直接转到中国站账号。
阿里云国际版 AWS 全球账号：以月度账单自动扣款为主。信用卡额度不足、银行拒绝跨境交易、3-D Secure 验证失败或账单地址不一致，都可能造成付款失败。AWS WAF 本身一般按规则、Web ACL 及请求量计费，Bot Control、CAPTCHA、Challenge、日志存储和 CloudFront 流量可能另行计费。
企业不应只绑定员工私人银行卡。实际项目中，员工离职、银行卡换卡或银行关闭境外无卡支付，都会导致续费失败。更稳妥的配置是企业付款方式、账单告警、预算告警和至少两名具有账务权限的管理员。
成本对比：不要只比较 WAF 套餐价格
两家的计费结构不同，适合使用统一公式估算月成本：
月成本 = WAF 固定费用 + 请求处理费 + 高级规则或 Bot 费用 + 日志费用 + CDN/CloudFront 流量费 + 回源流量费 + 高防费用
| 成本场景 | 容易漏算的项目 | 决策重点 |
|---|---|---|
| 每月 1 亿次请求，规则较少 | 请求计费、日志写入和日志查询 | AWS 应按 Web ACL、规则和请求分别测算；阿里云应核对套餐规格及超量处理方式 |
| CC 导致请求量从 1 亿升至 5 亿 | 攻击请求也可能进入请求计费或日志计费 | 确认被拦截请求如何收费，并限制不必要的全量日志 |
| 需要自动化流量识别 | Bot 管理、高级托管规则或挑战请求费用 | 先对高风险 URI 启用，不要默认覆盖所有请求 |
| 国内用户访问海外源站 | 跨境链路、CloudFront/CDN 和回源流量 | 把延迟、失败率和带宽费用一起纳入，而不是只看 WAF 账单 |
假设正常请求量为每月 2 亿次，攻击月增至 8 亿次，日志平均每条 1.5KB，则仅原始日志量就可能从约 300GB 增至约 1.2TB。若全部长期保留，日志成本会明显上升。常用做法是安全事件期保留详细日志，日常按字段过滤、缩短在线保留时间，并把归档日志转入低成本存储。
价格和套餐规格会随区域、版本及合同变化，采购前应使用双方官方计算器按同一请求量、规则数和日志量重新核价，不能直接套用他人账单。
风控审核最常见的失败原因
- 主体信息不一致：账号企业名称、营业执照、付款账户和域名备案主体无法对应。
- 注册环境异常：短时间切换多个国家 IP、使用代理注册、同一设备批量创建账号。
- 银行卡验证失败：不支持境外交易、余额不足、账单地址错误或发卡行拦截小额预授权。
- 账号来源不明：购买账号后更换邮箱、手机号、付款卡和登录地区，触发安全复核。
- 业务用途敏感：域名内容、流量来源或投诉记录与提交的业务说明不一致。
- 资料图片不可核验：证件过期、截图裁切、公司名称翻译不一致或授权人材料缺失。
遇到审核时，应使用账号注册邮箱提交营业执照、付款凭证、域名归属、业务网址、预计月消费和资源用途。不要连续重复注册新账号，这通常会让设备、手机号和银行卡被更多账号关联。
一个常见迁移案例：AWS 海外架构服务国内用户
某跨境电商将源站部署在 AWS 新加坡区域，通过 CloudFront 和 AWS WAF 对外服务。日常国内访问可用，但促销期间出现大量商品搜索和登录请求。AWS WAF 的 Rate-based Rule 能拦截明显高频 IP，不过部分攻击使用住宅代理轮换 IP，单 IP 频率不高，源站数据库仍被搜索请求拖慢。
最终处理不是简单更换 WAF，而是分三步：先对搜索接口增加缓存和查询参数白名单；再按 URI 建立独立频率规则，并对异常客户端触发 Challenge；最后将国内业务拆分到具备大陆接入条件的链路，保留 AWS 作为海外用户入口。调整后，源站高峰查询量下降约 70%，误封投诉也低于直接封 IP 的阶段。
这个案例反映出一个实际限制：WAF 可以减少恶意请求，但无法修复没有缓存、缺少接口配额或允许复杂查询无限消耗数据库的问题。对于动态接口型 CC，应用限流、缓存、验证码和数据库保护必须同时实施。
购买前需要确认的 8 个问题
- 主要访问用户是否在中国大陆？
- 域名是否完成 ICP 备案，备案主体是否与账号主体一致？
- 源站在大陆、香港、新加坡，还是 AWS 其他区域？
- 攻击集中在静态资源还是登录、搜索、下单等动态接口？
- 正常高峰请求量、单 IP 请求量和攻击峰值分别是多少？
- 是否需要 Bot 管理、验证码、API 防护或网络层高防？
- 付款方式能否长期使用，谁负责账单和续费告警？
- 源站安全组是否能限制为仅接受 WAF 或 CDN 回源地址？
大陆业务且要求快速处理 CC，通常先测试阿里云中国站 WAF；已有完整 AWS 架构、用户分布在海外，则优先在 AWS WAF 上优化规则。国内用户访问海外 AWS 的项目，应先做至少一周的分省、分运营商延迟与失败率测试，再决定是否长期使用该链路。最终采购应以真实流量回放、误拦截率、攻击期间源站负载和完整月账单为依据。
常见问题
只开 WAF 能防住所有 CC 攻击吗？
不能。低频分布式请求、真实浏览器自动化和针对高成本接口的请求，可能绕过简单频率规则。需要同时配置缓存、接口配额、会话验证及源站访问限制。
AWS 全球账号能直接购买 AWS 中国区域的 WAF 吗？
阿里云国际版 通常不能直接共用。中国区域采用独立账号和运营体系，应分别完成开户、合同及付款配置。
阿里云国际站账号能直接使用中国站余额吗？
通常不能。中国站与国际站的账号、余额、优惠及认证体系应按独立平台处理。
临时遭遇攻击后再开 WAF 是否来得及？
可以紧急接入，但 DNS 生效、证书部署、回源配置和规则调试都需要时间。未提前限制源站访问时，攻击者还可能直接攻击源站 IP。对重要业务，至少应提前完成接入演练和应急 DNS 预案。