Web应用防火墙（也称为网站应用级入侵防御系统。国际上传统的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web提供保护的一种产品。在这个过程中，可能会有这样的问题：问题1.前端应用需要知道后端每个服务的地址，或者必须接入服务中心；服务的地址和端口可能会动态变化。
什么是web应用防火墙？
Web应用防火墙（也称为网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。国际上传统的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web提供保护的一种产品。而目前的WAF，在功能、性能上都发生了一些变化。原始WAF基于规则进行防御，典型的产品如绿盟的WAF，这是第一代WAF产品。
发展到现在，涌现出了一批新的WAF，功能更为强大，性能更为卓越。可称为下一代WAF，比如：ShareWAF，这类WAF，除了可以用规则防御传统攻击，还可以抵御自动化攻击、未知攻击、0Day攻击等等，并且往往集成了态势感知、攻击溯源等新兴的功能，这些强大的功能是传统WAF所不具备的。还有一类WAF，被称为前端WAF，或SDK式WAF。
传统的WAF工作在服务器后端，接入时可能需要部署软件，甚至是安装硬件，并修改网络结构，部署是相当的复杂，使用、维护也有大量的工作。给很多企业的使用上带来了众多困难，在这种情况下，WAF中衍生出了前端WAF，就像引入一个JS文件一样，这种WAF通过一行代码就可以接入，能实现绝大多数的WAF功能，比如防SQL注入、防CSRF、防XSS，防自动化攻击、防爬虫等等，功能也是相当强大。
什么是网关，网关的作用是什么？
谢邀！关注必回！广义上的网关或者说物理级别的网关是指在网络层上以实现网络互连，是两个高层协议不同的网络互连。作为大狂客程序员，看到网关第一想到的是spring cloud 的gateway。今天主要向大家介绍软件行业分布式系统中网关的含义作用以及使用过程中的注意事项。geteway定义以及作用官网上这么说的，This project provides a library for building an API Gateway on top of Spring MVC. Spring Cloud Gateway aims to provide a simple, yet effective way to route to APIs and provide cross cutting concerns to them such as: security, monitoring/metrics, and resiliency。
（该项目为我们提供一个在springmvc上构建网关API的代码库，为我们提供一种简单高效安全的api。主要包括的功能有路由转发、权限校验、限流控制等）。在简单了解了spring-cloud的网关定义之后，我简单说下使用场景以及意义。在分布式系统中，内部服务之间通过api访问，spring-cloud提供feign的restapi访问方式，内网访问不存在安全隐患，对外提供服务时，需要一个道门专门来做内外网环境隔离以及对外部请求的过滤。
在这个背景下geteway因用而生了（替代了上个版本的zuul）。核心实现思路filter(过滤器)，网关是在内部调用程序外围添加一个带各种过滤器的spring-boot的项目，同样会在注册中心注册。在各种不同的过滤器中提供各个不同功能的API接口。核心功能内外网隔离，外网所有请求都只能通过网关访问内网数据；防止网关单点，最好在不同大区配置多台网关服务器。
验证 鉴权，外网所有请求，通过网关指定过滤器对用户访问权限进行控制。可以整合OAuth2，token，jwt等提高架构安全性。服务降级 限流 日志 监控。限流算法如令牌桶、漏桶等，Spring Cloud Gateway使用Redis Lua技术实现高并发和高性能的限流方案。简单介绍一下几个限流算法：令牌桶算法：令牌桶算法： 假如用户配置的平均速率为r，则每隔1/r秒一个令牌被加入到桶中；假设桶最多可以存发b个令牌。
如果令牌到达时令牌桶已经满了，那么这个令牌会被丢弃；当一个n个字节大小的数据包到达，将从桶中删除n个令牌，接着数据包被发送到网络上； 如果令牌桶中少于n个令牌，那么不会删除令牌，并且认为这个数据包在流量限制之外； 算法允许最长b个字节的突发，但从长期运行结果看，数据包的速率被限制成常量r。对于在流量限制外的数据包可以以不同的方式处理： 它们可以被丢弃； 它们可以排放在队列中以便当令牌桶中累积了足够多的令牌时再传输； 它们可以继续发送，但需要做特殊标记，网络过载的时候将这些特殊标记的包丢弃。
漏桶算法：漏桶算法的描述如下： 一个固定容量的漏桶，按照常量固定速率流出水滴； 如果桶是空的，则不需流出水滴； 可以以任意速率流入水滴到漏桶； 如果流入水滴超出了桶的容量，则流入的水滴溢出了（被丢弃），而漏桶容量是不变的。路由 数据整合。注意事项网关是外部网络访问内部服务器的唯一通道，存在单点故障问题，需要部署集群解决；所有的请求都通过网关访问，网关压力会非常大，需要系统做全面的压力测试，并根据业务需求对网关进行拆分，以减小网关压力，降低不同业务的耦合度。
spring cloud中gateway存在的意义是什么？
先让我们看这样一个场景吧，一个电商网站做了服务化，后端服务分别拆成了用户服务、商品服务、支付服务、物流服务（为了举例，做了简化，实际场景会远比这个复杂）；前端有网页版和 APP，前端的所有操作都需要调用后端的各个服务。在这个过程中，可能会有这样的问题：问题1. 前端应用需要知道后端每个服务的地址，或者必须接入服务中心；但是服务的地址和端口可能会动态变化。
问题2. 每个服务的技术栈必须相同，遵守相同的接口规范，接口协议必须相同，否则对于前度极度不友好。问题3网页版和 APP 展示相同的内容时，可能粒度不同，要么服务端提供粗粒度和细粒度两种 API，要么只提供一组最细粒度的 API，前者增加了后端的开发量，后者可能会导致一次前端需要多次调用细粒度的 API，才能得到想要的数据。
问题4不同的客户端设备展示的数据不同，比如网页版能展示的数据更详细一些，APP 展示的数据少，那么也会有“提供一个大而全的接口”还是“为不同的调用方提供不同接口”的问题。问题5日志、认证和鉴权、计费、监控等等功能，需要各个后端来完善，或者接入到对应的公共组件中（接入也是需要开发的），这就多多少少增加了后端服务的工作。
API Gateway 就是为了解决以上种种问题的；API Gateway 是系统的唯一入口，它屏蔽掉了系统的内部架构，为调用方定制了统一的 API。单节点网关多网关集群我们可以看到 API Gateway 的作用：把后端各个服务的 API 聚合起来，提供统一且唯一规范的入口，这样使得内部的架构对于调用方透明，客户端和服务端的耦合度降低；各个后端服务之间，可以采用不同的实现方案，而 API Gateway 会屏蔽掉这些差异；后端的每个服务也都是在不断迭代和升级的，API Gateway 可以将请求路由到不同的接口版本上，可以实现灰度发布；API Gateway 可以进行服务编排，实现数据聚合，也就是调用方一次请求，API Gateway 调用多个服务拿到数据后返回；API Gateway 知道所有服务实例的地址，可以对不同的服务采用不同的路由策略；日志、认证和鉴权、计费、监控等等功能都可以在 API Gateway 上实现；API Gateway 还可以对流量进行控制，通过熔断、降级、限流等方式，保护后端服务。
