Cloudflare WAF 免费防护高危漏洞很给力，但千万别把它当成包治百病的安全盾牌

正常用户一天调用几次，扫描器却会往参数里塞 SQL 注入、命令注入、路径穿越和各种刚公开的 CVE payload。你当然应该修代码、升级依赖、使用参数化查询，但补丁从发现到上线总有时间差；如果有十个应用、三套云和一批历史系统，这个时间差会更长。