OWASP Coraza防火墙新手入门指南

Coraza作为企业级开源Web应用防火墙（WAF），采用Go语言开发，支持ModSecurity SecLang规则集且与OWASP核心规则集v4完全兼容。站长百科将从技术特性、集成方案到实战部署进行系统化解析，帮助开发者快速掌握Coraza的应用与配置。

一、OWASP Coraza核心技术特性解析

1、即插即用的兼容性设计

Coraza作为替代引擎，与Trustwave OWASP ModSecurity引擎具备部分兼容性，可无缝支持行业标准的SecLang规则集，实现传统WAF方案的平滑迁移。

2、企业级安全防护能力

通过运行OWASP CRS规则集，为Web应用提供多层防护：

抵御OWASP Top10威胁，包括SQL注入（SQLi）、跨站点脚本（XSS）等常见攻击；
拦截PHP/Java代码注入、HTTPoxy漏洞、Shellshock攻击；
具备脚本/扫描器/机器人行为检测能力；
防止元数据泄露与错误信息暴露；
采用智能误报抑制机制，平衡安全与业务可用性。

3、灵活可扩展的架构设计

审计记录器、持久化引擎等基础组件；
支持自定义运算符、动作及扩展功能开发；
开放接口允许根据业务需求定制防护逻辑。

4、高性能运行表现

通过轻量化设计实现低性能损耗，具体数据可参考官方基准测试报告。

5、开发友好性

源代码结构清晰易读，开发者可轻松理解与修改。

二、OWASP Coraza防火墙实战指南

1、环境准备

依赖要求：Golang 1.18及以上版本

2、项目集成步骤

添加依赖到Go项目

go install github.com/corazawaf/coraza/v3@latest

创建WAF实例

package main
import (
“github.com/corazawaf/coraza/v3”
)
func initCoraza(){
cfg := coraza.NewWAFConfig()
waf, err := coraza.NewWAF(cfg)
}

向WAF实例添加规则：

package main

import (
“github.com/corazawaf/coraza/v3”
)

func createWAF() coraza.WAF {
waf, err := coraza.NewWAF(coraza.NewWAFConfig().WithDirectives(`SecAction “id:1,phase:1,deny:403,log”`))
if err != nil {
panic(err)
}
return waf
}

3、事务处理机制

事务是请求处理的核心单元，具备并发安全性，按阶段评估规则：

创建事务实例

tx:=waf.NewTransaction()//自动生成事务ID
txWithID:=waf.NewTransactionWithID(“custom-transaction-id”)//指定自定义ID

中断处理逻辑

//…
tx := waf.NewTransaction()
// Add some variables and process some phases
if it := tx.Interruption();it != nil {
switch it.Action() {
case “deny”:
rw.WriteStatus(it.Status())
rw.Write([]byte(“Some error message”))
return
}
}

4、请求处理流程

方式一：自动处理请求（推荐）

自动触发第1阶段（请求头处理）和第2阶段（请求体处理）的规则校验，当检测到威胁时立即通过事务中断机制终止请求处理流程，避免恶意数据进入业务逻辑层。

该方法会读取原始req.Body并替换为Coraza创建的新指针，指向内部缓冲区或临时文件。此操作确保防御模块能完整捕获请求数据进行规则匹配。后续业务代码可安全复用处理后的请求体资源，避免因原始 Body 读取后无法重复读取导致的兼容性问题。

// 典型处理流程示例
func handleProtectedRequest(w http.ResponseWriter, req *http.Request) {
tx := waf.NewTransaction()
defer func() {
tx.ProcessLogging()
tx.Close()
}()

// 调用ProcessRequest触发自动防护流程
if err := tx.ProcessRequest(req); err != nil {
http.Error(w, “Request processing failed”, http.StatusInternalServerError)
return
}

// 此处可安全处理经过WAF验证的请求
// req.Body已被Coraza替换为可重复读取的资源
processBusinessLogic(w, req)
}

方式二：手动分阶段处理请求

tx := waf.NewTransaction()
// 127.0.0.1:55555 -> 127.0.0.1:80
tx.ProcessConnection(“127.0.0.1”, 55555, “127.0.0.1”, 80)
// Request URI was /some-url?with=args
tx.ProcessURI(“/some-url?with=args”)
// We add some headers
tx.AddRequestHeader(“Host”, “somehost.com”)
tx.AddRequestHeader(“Cookie”, “some-cookie=with-value”)
// Content-Type is important to tell coraza which BodyProcessor must be used
tx.AddRequestHeader(“Content-Type”, “application/x-www-form-urlencoded”)
// We process phase 1 (Request)
if it := tx.ProcessRequestHeaders();it != nil {
return processInterruption(it)
}
// We add urlencoded POST data
tx.RequestBodyBuffer.Write([]byte(“somepost=data&with=paramenters”))
// We process phase 2 (Request Body)
if it := tx.ProcessRequestBody();it != nil {
return processInterruption(it)
}

5、日志处理规范

日志处理是强制阶段，建议通过defer确保执行：

//…
tx := waf.NewTransaction()
defer tx.ProcessLogging()
//Process phases

6、HTTP全流程中间件

利用Coraza提供的HTTP中间件简化集成：

package main

import (
txhttp “github.com/corazawaf/coraza/v3/http”
)

func main() {
waf, _ := coraza.NewWAF(coraza.NewWAFConfig())
http.Handle(“/”, txhttp.WrapHandler(waf, http.HandlerFunc(exampleHandler)))
fmt.Println(“Server is running. Listening port: 8090”)
log.Fatal(http.ListenAndServe(“:8090”, nil))
}