Kubernetes 中 Nginx Ingress Controller 与 WAF 集成有三类主流路径：内置增强型（如 NGINX App Protect）、开源扩展型（ModSecurity + OWASP CRS）、云托管联动型（如腾讯云/阿里云 WAF），选型需综合安全等级、预算、运维能力与云平台绑定程度。
在 Kubernetes 中，Nginx（特指 NGINX Ingress Controller）与云原生 WAF 的集成，核心不是“把 WAF 塞进 Nginx”，而是让 Nginx Ingress Controller 具备 WAF 能力或与外部 WAF 服务联动。当前主流路径有两类：一类是 内置增强型（如 NGINX App Protect），另一类是 开源扩展型（如 ModSecurity + OWASP CRS），还有一类是 云托管联动型（如腾讯云 WAF、阿里云 WAF 3.0）。选择取决于安全等级要求、预算、运维能力与云平台绑定程度。
NGINX App Protect：商业级深度集成方案
这是 F5 提供的专为 Kubernetes 设计的 WAF，直接作为 NGINX Ingress Controller 的可选模块启用，无需额外 sidecar 或代理。它通过 Custom Resource Definitions（CRD）定义策略，再通过 Ingress 或 VirtualServer 注解/字段绑定，实现声明式防护。
- 部署前必须启用
--enable-app-protect标志启动 Ingress Controller - 策略（Policy）、日志配置（LogProfile）、签名集（SignatureSet）均以 CRD 方式独立管理
- 将策略应用到流量入口，需使用
VirtualServer资源（非标准 Ingress），或通过ingress.kubernetes.io/app-protect-policy注解关联到传统 Ingress - 支持细粒度控制：按 host/path 启用、自定义阻断响应页、攻击日志直发 syslog 或 Splunk
ModSecurity + OWASP CRS：开源灵活的嵌入方案
这是最广泛采用的免费方案，通过在 NGINX Ingress Controller 中启用 ModSecurity 模块，并加载 OWASP Core Rule Set（CRS），实现基础 Web 攻击防护。它完全基于 Ingress 注解配置，无需新增 CRD，适合中小团队快速落地。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 需在 Ingress Controller 的 ConfigMap 中开启
enable-modsecurity: "true"和enable-owasp-modsecurity-crs: "true" - 单个 Ingress 可通过注解精细控制：
nginx.ingress.kubernetes.io/enable-modsecurity: "true"启用，nginx.ingress.kubernetes.io/modsecurity-snippet插入自定义规则片段 - 默认 CRS 规则覆盖 SQLi、XSS、RCE、扫描器识别等，但需定期更新规则版本并测试误报率
- 性能开销略高于原生 Nginx，建议搭配限流（
limit-rps）和连接限制使用
公有云 WAF 联动：免运维的托管防护模式
当集群运行在腾讯云、阿里云等平台时，可跳过 Ingress 内部集成，改由云 WAF 实例统一承接南北向流量，Ingress 仅作路由转发。这种方式卸载了安全计算压力，且天然支持大流量清洗、Bot 管理、AI 异常检测等高级能力。
- 腾讯云：通过
nginx.ingress.kubernetes.io/waf-instance-id注解指定已购 WAF 实例 ID - 阿里云 MSE 网关：在控制台为 ALB Ingress 或云原生网关实例一键开启 WAF 3.0，支持实例级或路由级开关
- 关键前提是 DNS 解析指向云 WAF VIP，而非直接指向 Ingress Controller 的 LoadBalancer IP
- 日志与告警由云平台统一纳管，与 Prometheus/Grafana 体系解耦，但审计合规性更易满足
选型与落地关键提醒
没有“最好”的方案，只有“最合适”的组合。金融、政务类业务倾向 App Protect 或云 WAF，追求 SLA 与责任共担；技术自研能力强的中大型企业常用 ModSecurity 自建+定制；初创团队建议优先选用云 WAF 托管模式，降低初期安全运维负担。无论哪种路径，都必须配套完成三件事：开启访问日志与 WAF 审计日志、配置异常请求告警（如 403/503 突增）、定期用 curl -v 或专用工具（如 wafw00f）验证防护是否生效。
