[{"data":1,"prerenderedAt":1480},["ShallowReactive",2],{"tool-security-okta":3,"related-security-okta":405},{"id":4,"title":5,"author":6,"bestFor":7,"body":8,"category":363,"cons":364,"cover":369,"date":370,"description":371,"draft":372,"extension":373,"meta":374,"navigation":375,"notFor":376,"path":377,"pricing":378,"pros":383,"score":389,"scoreBreakdown":390,"seo":396,"stem":397,"tags":398,"toolName":212,"updated":370,"url":403,"vendor":212,"__hash__":404},"tools\u002Ftools\u002Fsecurity\u002Fokta.md","Okta 评测","元析评测","100 人以上、采购了 10 款以上海外 SaaS 工具、需要严格执行入转调离权限自动化的跨国或出海企业",{"type":9,"value":10,"toc":335},"minimark",[11,15,23,26,29,45,48,53,56,59,63,66,69,73,76,79,82,86,89,93,96,100,103,107,110,114,117,120,187,198,201,277,283,287,291,294,298,301,305,308,312,323,326,329],[12,13,14],"h2",{"id":14},"结论先行",[16,17,18,22],"p",{},[19,20,21],"strong",{},"推荐给中大型出海及跨国团队,总分 8.5,单模块起步价 $2\u002F用户\u002F月,但有 $1,500\u002F年的最低合同门槛。"," Okta 是全球企业级身份与访问管理(IAM)领域的标杆产品,核心价值在于把公司里几十个分散的 SaaS 软件账号收拢到一套中心目录里,实现员工入职自动开号、离职一键断权。",[16,24,25],{},"它的缺点同样扎眼:价格拆得非常零碎,真正在生产环境跑起来往往要配齐 SSO、MFA 和生命周期管理三个模块,人均月成本很快突破 $10;而且它对国内本土办公软件的适配度远不如竹云、宁盾或飞书自带的 SSO。",[12,27,28],{"id":28},"这篇评测基于什么数据",[30,31,32,36,39,42],"ul",{},[33,34,35],"li",{},"定价核对:我们于 2026-11 查阅 Okta 官网 Workforce Identity Cloud 定价页,核实了 Single Sign-On、Multi-Factor Authentication、Lifecycle Management、Workflows 各拆售模块的美元单价与 $1,500 年度最低合同条款。",[33,37,38],{},"技术文档:我们查阅了 Okta 官方帮助文档中关于 Okta Integration Network(OIN)连接器目录、Universal Directory 属性映射以及 Okta FastPass 无密码认证的配置手册。",[33,40,41],{},"架构参考:我们对照了 Microsoft Entra ID 与国内 Authing 的公开报价与功能表,测算 200 人规模企业的三年拥有成本。",[33,43,44],{},"边界说明:我们未在千人规模生产域控下做压测,本文结论基于官方公开文档与企业管理员社区的公开反馈。",[12,46,47],{"id":47},"核心功能",[49,50,52],"h3",{"id":51},"_7000-预置连接器与单点登录sso","7,000+ 预置连接器与单点登录(SSO)",[16,54,55],{},"企业买 Okta 的第一诉求通常是解决“员工入职要记 20 个后台密码”的乱象。Okta 的底气来自它的 Okta Integration Network(OIN)应用商店,里面已经预置了超过 7,000 个云端应用和本地系统的连接模板,涵盖 Salesforce、Jira、Slack、GitHub、AWS、Figma、Zoom 等常见海外软件。",[16,57,58],{},"对于管理员来说,接一个已在 OIN 目录里的应用不需要写代码:在后台搜出软件名,把自动生成的 SAML 2.0 证书或 OIDC 客户端凭证填进目标软件后台,再勾选允许访问的部门群组,15 分钟就能上线。员工每天早上打开电脑登录一次 Okta 门户,点击图标就能直接进各个业务系统,不再接触子系统的明文密码。",[49,60,62],{"id":61},"自适应多因素认证adaptive-mfa与-fastpass","自适应多因素认证(Adaptive MFA)与 FastPass",[16,64,65],{},"光有单点登录还不够,如果主账号被钓鱼网站骗走,攻击者等于拿到了全公司所有系统的钥匙。Okta 的 MFA 模块支持推送通知、FIDO2 硬件密钥(如 YubiKey)、WebAuthn 生物识别、TOTP 动态口令等多种验证因子。",[16,67,68],{},"如果买到 $6\u002F用户\u002F月的 Adaptive MFA 档位,系统会在每次登录时评估上下文风险信号:包括员工当前 IP 所在的国家城市、是不是首次出现的陌生设备、是否挂了匿名代理 IP、甚至两次登录的地理位置移动速度是否超过了飞机航速(不可能旅行检测)。正常在公司办公室 Wi-Fi 下用受管 MacBook 登录,直接通过 Okta FastPass 按一下 Touch ID 免密放行;一旦检测到凌晨三点有陌生的东欧 IP 尝试登录,策略会自动拦截或强制要求插入硬件安全密钥。",[49,70,72],{"id":71},"账号生命周期自动化lcm与-workflows","账号生命周期自动化(LCM)与 Workflows",[16,74,75],{},"对于超过 200 人的公司,IT 部门最怕员工离职时漏关某个边缘系统的权限。Okta 的 Lifecycle Management(LCM)通过 SCIM 协议把人事系统(如 Workday、BambooHR)当成唯一真实信源。",[16,77,78],{},"当 HR 在人事系统里把新员工状态改为“在职”并填入部门字段,Okta 会自动在 Universal Directory 里建好主账号,同时去 Gmail 开邮箱、去 Salesforce 分发销售席位、把人拉进对应的 Slack 频道。当员工离职当天下午 5 点 HR 点击离职生效,Okta 会在几秒钟内自动吊销他在所有关联 SaaS 里的会话令牌,并把网盘文件所有权转移给直属主管。遇到复杂逻辑还可以用内置的 Workflows 拖拽卡片画出定时自动化流程。",[12,80,81],{"id":81},"评分明细",[49,83,85],{"id":84},"功能完整度9310","功能完整度:9.3\u002F10",[16,87,88],{},"从统一目录、SAML\u002FOIDC 单点登录、上下文风险感知、SCIM 自动开销户到特权访问管理,企业身份治理该有的零件它全都齐备。扣 0.7 分在于国内本土应用的连接模板偏少。",[49,90,92],{"id":91},"易用性8210","易用性:8.2\u002F10",[16,94,95],{},"终端员工的使用体验很好,配好 FastPass 后几乎无感登录。但管理员后台的策略树、属性表达式语法和权限继承关系相当繁琐,没有专职 IT 运维的团队上手会觉得满屏都是英文术语。",[49,97,99],{"id":98},"数据质量8710","数据质量:8.7\u002F10",[16,101,102],{},"System Log 审计日志记录了每一次登录请求、设备指纹、地理位置与策略命中结果,支持通过 Event Hooks 实时推给 Splunk 或 Datadog。扣分在默认日志留存周期有限,长周期合规归档需额外付费。",[49,104,106],{"id":105},"性价比7410","性价比:7.4\u002F10",[16,108,109],{},"表面上看 SSO 只要 $2\u002F人\u002F月,但只买这一个模块基本是个半成品。配齐生产环境必备的 Adaptive MFA($6)和 Lifecycle Management($4)后,每人每月高达 $12,再加上 $1,500 的年消费底线,整体开销不低。",[49,111,113],{"id":112},"客户支持8610","客户支持:8.6\u002F10",[16,115,116],{},"文档库和管理员认证培训体系成熟,报错代码基本都能在官方知识库里搜到明确排查步骤。扣分在于基础订阅档位的工单响应时间一般,7×24 小时电话支持需要额外购买服务包。",[12,118,119],{"id":119},"定价说明",[121,122,123,139],"table",{},[124,125,126],"thead",{},[127,128,129,133,136],"tr",{},[130,131,132],"th",{},"模块名称",[130,134,135],{},"价格(年付按月计)",[130,137,138],{},"说明",[140,141,142,154,165,176],"tbody",{},[127,143,144,148,151],{},[145,146,147],"td",{},"Single Sign-On (SSO)",[145,149,150],{},"$2\u002F用户\u002F月",[145,152,153],{},"基础 SAML\u002FOIDC 单点登录与目录策略;Adaptive 版为 $5\u002F用户\u002F月",[127,155,156,159,162],{},[145,157,158],{},"Multi-Factor Authentication",[145,160,161],{},"$3\u002F用户\u002F月",[145,163,164],{},"支持 Okta Verify、FIDO2 等验证;带风险感知的 Adaptive MFA 为 $6\u002F用户\u002F月",[127,166,167,170,173],{},[145,168,169],{},"Lifecycle Management (LCM)",[145,171,172],{},"$4\u002F用户\u002F月",[145,174,175],{},"基于 SCIM 协议自动同步 HR 数据、自动开通与回收下游应用账号",[127,177,178,181,184],{},[145,179,180],{},"Workflows",[145,182,183],{},"$4\u002F用户\u002F月起",[145,185,186],{},"免费赠送 5 条自动化流,超出后按用户数或流程包阶梯计费",[16,188,189,190,193,194,197],{},"算账时有三个隐藏门槛必须看清:第一,Okta 强制执行 ",[19,191,192],{},"$1,500\u002F年"," 的最低合同金额,哪怕你只有 20 个员工、只选了 $2 SSO + $3 MFA(理论上一年 $1,200),账单也得按 $1,500 付。第二,上述模块是叠加收费的,标准中型企业常选的“SSO($2) + Adaptive MFA($6) + LCM($4)”组合,实际单价是 ",[19,195,196],{},"$12\u002F用户\u002F月",",一年 200 人就是 28,800 美元。第三,如果是拿 Okta 给自研产品的外部注册用户做登录(即 Auth0 线),那套按月活用户(MAU)计费的价格表和内部员工版完全不同。",[12,199,200],{"id":200},"和竞品对比",[121,202,203,219],{},[124,204,205],{},[127,206,207,210,213,216],{},[130,208,209],{},"维度",[130,211,212],{},"Okta",[130,214,215],{},"Microsoft Entra ID",[130,217,218],{},"Authing (蒸汽记忆)",[140,220,221,235,249,263],{},[127,222,223,226,229,232],{},[145,224,225],{},"定位",[145,227,228],{},"独立中立的全球企业身份管理平台",[145,230,231],{},"微软云与办公套件原生的身份底座",[145,233,234],{},"中国本土开发者友好的身份云",[127,236,237,240,243,246],{},[145,238,239],{},"起步价",[145,241,242],{},"$2\u002F用户\u002F月(年合同 $1,500 起)",[145,244,245],{},"P1 档 $6\u002F用户\u002F月(常含在 M365 E3 中)",[145,247,248],{},"基础版数万元\u002F年起(支持私有化报价)",[127,250,251,254,257,260],{},[145,252,253],{},"优势",[145,255,256],{},"7,000+ 海外 SaaS 连接器、中立不绑云",[145,258,259],{},"与 Windows 设备管理及 Office 融合、捆绑划算",[145,261,262],{},"预置飞书\u002F企微\u002F钉钉及本土应用、支持本地部署",[127,264,265,268,271,274],{},[145,266,267],{},"短板",[145,269,270],{},"模块叠加后贵、本土国内应用少",[145,272,273],{},"非微软体系应用配置较繁琐",[145,275,276],{},"跨国海外小众 SaaS 的现成模板不如 Okta 多",[16,278,279,282],{},[19,280,281],{},"怎么选",":公司业务面向全球、技术栈是 AWS + Google Workspace + Slack + 几十款海外 SaaS,选 Okta 最省心;如果全公司本来就买了 Microsoft 365 商业高级版或 E3\u002FE5 许可证,直接用里面自带的 Microsoft Entra ID;如果团队主要在国内、核心诉求是打通飞书、钉钉、用友、金蝶和自研内网系统,优先看 Authing、竹云等本土方案。",[12,284,286],{"id":285},"faq","FAQ",[49,288,290],{"id":289},"q-我们只有-30-个人用很多海外-saas买-okta-划算吗","Q: 我们只有 30 个人,用很多海外 SaaS,买 Okta 划算吗?",[16,292,293],{},"A: 不太划算。因为 Okta 有每年 $1,500 的最低合同消费限制,30 人团队平摊下来哪怕只开基础功能,每人每月也要合到 $4.16 以上,还没算自动开户模块。30 人规模建议直接用 Google Workspace 自带的 SAML 单点登录,或者搭配 1Password Business。",[49,295,297],{"id":296},"q-okta-能不能对接国内的飞书钉钉和企业微信","Q: Okta 能不能对接国内的飞书、钉钉和企业微信?",[16,299,300],{},"A: 可以打通,但没有海外软件那么顺滑。常见做法是把飞书或企业微信当成上游身份源或下游标准 SAML\u002FOIDC 应用来手工配置,需要双方管理员对着文档配字段映射和证书;如果要实现组织架构多层部门树的实时双向同步,往往还得借助 Okta Workflows 或自己写中间件脚本。",[49,302,304],{"id":303},"q-已经在用-microsoft-365-了还有必要单独买-okta-吗","Q: 已经在用 Microsoft 365 了,还有必要单独买 Okta 吗?",[16,306,307],{},"A: 绝大多数情况下没必要。如果你采购的 M365 套餐里已经包含了 Entra ID P1(比如 M365 Business Premium 或 E3),它本身就已经具备了条件访问、多因素认证和主流 SaaS 的单点登录能力,再买一套 Okta 属于重复建设。",[49,309,311],{"id":310},"q-okta-和-auth0-是什么关系我该买哪个","Q: Okta 和 Auth0 是什么关系?我该买哪个?",[16,313,314,315,318,319,322],{},"A: Auth0 在 2021 年被 Okta 收购,现在是 Okta 旗下的 Customer Identity Cloud(CIC)产品线。如果你是管",[19,316,317],{},"自己公司内部员工","登录几十个办公软件的权限,买本文评测的 Okta Workforce Identity;如果你是软件开发者,想给自己开发的 App 或网站加一个",[19,320,321],{},"外部客户注册登录框",",去买 Auth0。",[12,324,325],{"id":325},"评测方法说明",[16,327,328],{},"本站针对 Okta 从功能完整度、易用性、数据质量、性价比、客户支持五个维度分别按 0 到 10 分打分,并取加权均值计算总评。文中列出的模块美元报价与最低合同条款均在 2026-11 对照 Okta 官方网站核对,企业实际签约折扣以官方销售合同为准。",[16,330,331,334],{},[19,332,333],{},"最后更新",":2026-10-21",{"title":336,"searchDepth":337,"depth":337,"links":338},"",2,[339,340,341,347,354,355,356,362],{"id":14,"depth":337,"text":14},{"id":28,"depth":337,"text":28},{"id":47,"depth":337,"text":47,"children":342},[343,345,346],{"id":51,"depth":344,"text":52},3,{"id":61,"depth":344,"text":62},{"id":71,"depth":344,"text":72},{"id":81,"depth":337,"text":81,"children":348},[349,350,351,352,353],{"id":84,"depth":344,"text":85},{"id":91,"depth":344,"text":92},{"id":98,"depth":344,"text":99},{"id":105,"depth":344,"text":106},{"id":112,"depth":344,"text":113},{"id":119,"depth":337,"text":119},{"id":200,"depth":337,"text":200},{"id":285,"depth":337,"text":286,"children":357},[358,359,360,361],{"id":289,"depth":344,"text":290},{"id":296,"depth":344,"text":297},{"id":303,"depth":344,"text":304},{"id":310,"depth":344,"text":311},{"id":325,"depth":337,"text":325},"security",[365,366,367,368],"计费项拆得极碎,把 SSO、自适应 MFA 和生命周期管理配齐后每用户每月要 $9 至 $15","设有每年 $1,500 的最低起售合同额,50 人以下的小公司哪怕单价算下来不到也得按门槛交钱","对飞书、钉钉、企业微信及国内本土财务 ERP 的预置连接器较少,往往要自己手配自定义 SAML\u002FSCIM","管理员后台策略配置层级深,初次梳理路由规则、登录策略与属性映射时学习曲线陡峭",null,"2026-10-21","Okta 评测:SSO 模块 $2\u002F用户\u002F月起,最低年度合同 $1,500,预置 7,000 多个 SaaS 连接器,适合跨国及多云架构企业统一管身份权限;按功能模块拆卖叠加后账单偏贵,国内办公软件对接不如本土厂商现成。",false,"md",{},true,"全员都在用飞书或钉钉办公的纯内贸中企,或整套 IT 架构已深度绑定微软 Microsoft 365 的团队","\u002Ftools\u002Fsecurity\u002Fokta",{"free":372,"startingPrice":379,"currency":380,"billingPeriod":381,"notes":382},"2","USD","月","Workforce Identity 按模块计费:Single Sign-On $2\u002F用户\u002F月起,Adaptive Single Sign-On $5\u002F用户\u002F月,Multi-Factor Authentication $3\u002F用户\u002F月,Adaptive MFA $6\u002F用户\u002F月,Lifecycle Management $4\u002F用户\u002F月;年度合同最低消费门槛为 $1,500\u002F年。价格于 2026-11 核对官网。",[384,385,386,387,388],"Okta Integration Network 预置超过 7,000 个现成应用集成,主流海外 SaaS 半小时内可走通 SAML 或 OIDC","Lifecycle Management 支持基于 HR 系统状态自动开户、调整权限组与离职秒级撤权","Okta FastPass 支持设备绑定与无密码生物识别登录,降低钓鱼邮件盗取口令的概率","Workflows 提供无代码逻辑编排,无需写脚本即可设置诸如休假期间自动挂起权限等规则","中立身份明显,不绑定特定公有云或办公套件,适合同时混用 AWS、Google Workspace 与微软的团队",8.5,{"features":391,"ease":392,"data":393,"price":394,"support":395},9.3,8.2,8.7,7.4,8.6,{"title":5,"description":371},"tools\u002Fsecurity\u002Fokta",[399,400,212,401,402],"网络安全","身份与访问管理","单点登录","零信任","https:\u002F\u002Fwww.okta.com","qGlWttmESyrEersEccGNZvpC2tYDNfLIshvfqKkWAPg",[406,770,1145],{"id":407,"title":408,"author":6,"bestFor":409,"body":410,"category":363,"cons":738,"cover":369,"date":743,"description":744,"draft":372,"extension":373,"meta":745,"navigation":375,"notFor":746,"path":747,"pricing":748,"pros":751,"score":757,"scoreBreakdown":758,"seo":763,"stem":764,"tags":765,"toolName":607,"updated":743,"url":768,"vendor":607,"__hash__":769},"tools\u002Ftools\u002Fsecurity\u002F1password.md","1Password 评测","10 至 500 人的研发与跨国远程团队,以及拥有多台苹果、Windows 混用设备的个人用户",{"type":9,"value":411,"toc":713},[412,414,420,423,425,442,444,447,450,453,457,460,463,467,495,497,501,504,508,511,515,518,522,525,527,530,532,592,595,597,668,673,675,679,682,686,689,693,696,700,703,705,708],[12,413,14],{"id":14},[16,415,416,419],{},[19,417,418],{},"推荐,总分 8.8,个人起步价 $2.99\u002F月(年付),团队版 $19.95\u002F月起。"," 1Password 适合需要统一管理后台账号、API 令牌、SSH 密钥的中小研发团队与多设备个人用户。它在客户端交互、浏览器自动填充准确度以及开发者命令行工具上的完成度,目前排在同类商业密码管理器的前列。",[16,421,422],{},"短板是完全砍掉了免费版本,也不开放本地私有化部署。如果你只需要免费存几十个网站密码,或者所在单位要求数据绝对不出内网,直接选 Bitwarden 或 KeePassXC,不用在 1Password 上花钱。",[12,424,28],{"id":28},[30,426,427,430,433,436,439],{},[33,428,429],{},"定价核对:我们于 2026-11 查阅 1Password 官网个人与企业定价页,核实了 Individual、Families、Teams Starter Pack、Business 四档年付与月付价格。",[33,431,432],{},"安全白皮书:我们查阅了官方公开的《1Password Security Design》文档,核对 PBKDF2-HMAC-SHA256 密钥派生参数、34 位 Secret Key 机制与 AES-GCM-256 加密实现。",[33,434,435],{},"开发者文档:我们核对了 1Password Developer 文档中关于 SSH Agent、CLI 2.0 环境变量注入以及 SCIM 网桥配置的说明。",[33,437,438],{},"横向参照:我们同期比对了 Bitwarden 与 Keeper 的公开定价表及功能矩阵,测算 10 人与 50 人团队的年化开销。",[33,440,441],{},"边界说明:我们未对 1Password 云端服务器做渗透测试,以下结论基于官方技术文档与公开审计报告整理。",[12,443,47],{"id":47},[49,445,446],{"id":446},"双密钥加密与多保险库隔离",[16,448,449],{},"1Password 和传统密码管理器最大的底层差异是引入了 34 位字符的 Secret Key(安全密钥)。首次注册设备时,系统会在本地生成这串密钥并生成 Emergency Kit 急救包 PDF。解密云端数据时,必须同时具备你记住的主密码和设备上的 Secret Key,两者共同参与 65 万次以上的 PBKDF2 迭代运算。哪怕攻击者拿走了云端密文,或者通过钓鱼猜出了简单主密码,只要没有拿到你设备里的 Secret Key,依然算不出解密密钥。",[16,451,452],{},"在权限切分上,它采用 Vault(保险库)模型。一家 30 人的公司可以建“全员公共库”“财务税控库”“生产服务器库”。新员工入职拉进对应群组即可拿到共享账号,离职时管理员在后台一键冻结账号,该员工本地缓存的加密库会在下一次联网握手时立即销毁。",[49,454,456],{"id":455},"通行密钥passkeys与-watchtower-监测","通行密钥(Passkeys)与 Watchtower 监测",[16,458,459],{},"从 1Password 8 开始,客户端全面支持 WebAuthn 标准下的 Passkeys 通行密钥存储与跨系统同步。以往苹果 iCloud 钥匙串生成的通行密钥很难在 Windows 的 Chrome 浏览器里直接调用,而装了 1Password 浏览器插件后,你在 Mac 上注册的 GitHub、Google 通行密钥可以直接在 Windows 台式机和安卓手机上点击登录,跳过密码输入和短信验证码。",[16,461,462],{},"内置的 Watchtower 看板负责扫描存量凭证风险。它会把你的登录邮箱哈希处理后比对 Have I Been Pwned 泄露数据库,直接列出四类问题:已在暗网泄露的密码、多个网站重复使用的密码、强度过低的短密码、以及网站支持 TOTP 二步验证但尚未开启的条目。",[49,464,466],{"id":465},"开发者-cli-与-ssh-密钥托管","开发者 CLI 与 SSH 密钥托管",[16,468,469,470,474,475,478,479,482,483,486,487,490,491,494],{},"传统开发流程里,工程师习惯把 ",[471,472,473],"code",{},"~\u002F.ssh\u002Fid_rsa"," 私钥明文放在硬盘上,或把数据库连接串写在项目的 ",[471,476,477],{},".env"," 文件里。开启 1Password SSH Agent 后,所有私钥全部加密保存在保险库内,本地磁盘不留私钥文件。当你执行 ",[471,480,481],{},"git push"," 或 ",[471,484,485],{},"ssh"," 连接服务器时,系统会弹出 Touch ID 或 Windows Hello 窗口,按指纹才授权当前会话签名。配合 ",[471,488,489],{},"op run"," 命令行工具,配置文件里只需写 ",[471,492,493],{},"op:\u002F\u002FProd\u002FDatabase\u002Fpassword"," 引用路径,程序启动时由 CLI 动态注入内存,硬盘全程不落明文。",[12,496,81],{"id":81},[49,498,500],{"id":499},"功能完整度9110","功能完整度:9.1\u002F10",[16,502,503],{},"密码、通行密钥、TOTP 动态码、信用卡、软件许可证、SSH 私钥和环境变量注入全部塞进了同一套客户端,还带有过境隐藏数据的 Travel Mode。扣 0.9 分在于不支持完全断网的纯局域网自建服务器。",[49,505,507],{"id":506},"易用性9010","易用性:9.0\u002F10",[16,509,510],{},"Mac、Windows、iOS、Android 和主流浏览器插件的界面逻辑统一,网页表单识别和自动填充极少出错。扣分在于新换手机登录时必须输入 34 位 Secret Key,弄丢急救包且没有旧设备授权的个人用户会彻底锁死账号。",[49,512,514],{"id":513},"数据质量8910","数据质量:8.9\u002F10",[16,516,517],{},"Watchtower 对接的泄露库更新及时,对全球主流网站是否支持二步验证和通行密钥的识别列表维护得很准。扣分在于部分国内政企后台系统的双层登录框偶有识别错位。",[49,519,521],{"id":520},"性价比8110","性价比:8.1\u002F10",[16,523,524],{},"个人版年付折合每月 $2.99 不算贵,但和 Bitwarden 个人免费、付费版仅 $10\u002F年的价格相比没有价格优势。10 人以下微型团队买 Starter Pack 固定要掏 $19.95\u002F月,不如按人头计费灵活。",[49,526,113],{"id":112},[16,528,529],{},"官方论坛响应快,邮件工单通常在 12 至 24 小时内由技术支持人员直接回复。扣分在缺乏原生中文在线实时客服,国内报销开具增值税发票需要通过代理商渠道。",[12,531,119],{"id":119},[121,533,534,546],{},[124,535,536],{},[127,537,538,541,544],{},[130,539,540],{},"套餐",[130,542,543],{},"价格(年付折合)",[130,545,138],{},[140,547,548,559,570,581],{},[127,549,550,553,556],{},[145,551,552],{},"Individual",[145,554,555],{},"$2.99\u002F月",[145,557,558],{},"单人使用,不限设备数,含 1GB 文档存储与 Watchtower 告警",[127,560,561,564,567],{},[145,562,563],{},"Families",[145,565,566],{},"$4.99\u002F月",[145,568,569],{},"含 5 名家庭成员,支持共享保险库与成员账号恢复,超员按 $1\u002F人\u002F月加购",[127,571,572,575,578],{},[145,573,574],{},"Teams Starter Pack",[145,576,577],{},"$19.95\u002F月",[145,579,580],{},"最多 10 名团队成员一口价,提供基础共享权限控制",[127,582,583,586,589],{},[145,584,585],{},"Business",[145,587,588],{},"$7.99\u002F用户\u002F月",[145,590,591],{},"月付 $9.99\u002F用户;含细粒度 ACL 权限、活动审计日志、Okta 同步及免费家庭版福利",[16,593,594],{},"注意两个成本细节:首先,Teams Starter Pack 不管你是 3 个人还是 10 个人都收 $19.95\u002F月,一旦团队扩到第 11 个人,必须整体升级到 Business 档位,月账单会从约 $20 跳涨到 $87.89。其次,官网直接绑卡扣美元,个人用户若外币卡绑卡失败,通常可改走美区 App Store 内购或买官方礼品卡充值。",[12,596,200],{"id":200},[121,598,599,614],{},[124,600,601],{},[127,602,603,605,608,611],{},[130,604,209],{},[130,606,607],{},"1Password",[130,609,610],{},"Bitwarden",[130,612,613],{},"Keeper",[140,615,616,629,642,655],{},[127,617,618,620,623,626],{},[145,619,225],{},[145,621,622],{},"兼顾体验与研发工具链的商业密码库",[145,624,625],{},"开源且支持自托管的高性价比方案",[145,627,628],{},"侧重合规审计与特权访问的企业方案",[127,630,631,633,636,639],{},[145,632,239],{},[145,634,635],{},"个人 $2.99\u002F月,团队 $19.95\u002F月",[145,637,638],{},"个人免费(付费 $0.83\u002F月),团队 $4\u002F用户\u002F月",[145,640,641],{},"个人 $2.92\u002F月,团队 $3.75\u002F用户\u002F月",[127,643,644,646,649,652],{},[145,645,253],{},[145,647,648],{},"客户端交互顺滑、SSH 与 CLI 工具好用、双密钥安全",[145,650,651],{},"代码开源、支持 Docker 私有化部署、价格便宜",[145,653,654],{},"后台合规报告细、支持旋转特权凭证与远程会话记录",[127,656,657,659,662,665],{},[145,658,267],{},[145,660,661],{},"无免费版、不可私有化部署",[145,663,664],{},"界面较简陋、填充体验略逊于 1Password",[145,666,667],{},"泄露监测与聊天等子模块需额外加钱购买",[16,669,670,672],{},[19,671,281],{},":看重日常填充顺手程度、团队里有程序员需要管 SSH 密钥和 API Token,直接选 1Password;预算卡得紧、或者要求密码库必须装在自家内网服务器上,选 Bitwarden;如果是传统金融机构需要满足复杂的特权审计报表,再看 Keeper。",[12,674,286],{"id":285},[49,676,678],{"id":677},"q-弄丢了-34-位-secret-key-还能找回账号吗","Q: 弄丢了 34 位 Secret Key 还能找回账号吗?",[16,680,681],{},"A: 如果你是个人版用户,且所有登录过 1Password 的旧手机、旧电脑都已退出登录,同时弄丢了 Emergency Kit 急救包,那么包括 1Password 官方在内没有任何人能帮你找回数据,只能重置建新号。如果是家庭成员或企业版员工,管理员可以在后台发起恢复流程帮你重置。",[49,683,685],{"id":684},"q-5-个人的小工作室买哪个版本最划算","Q: 5 个人的小工作室买哪个版本最划算?",[16,687,688],{},"A: 如果 5 个人之间只是共享十几个公共社媒、电商后台账号,不需要审计日志和单点登录集成,直接买 $4.99\u002F月的 Families 家庭版就够用,一年能比买 Teams Starter Pack 省下约 180 美元。等团队扩到 8 人以上再迁到团队版。",[49,690,692],{"id":691},"q-在国内不挂代理能正常同步吗","Q: 在国内不挂代理能正常同步吗?",[16,694,695],{},"A: 2026 年我们在国内三大运营商网络下观察,1Password 的同步请求多数时候可以直连通过,但首次下载附件或晚高峰偶有 3 到 5 秒延迟。由于加密库在本地有完整离线副本,断网也不影响查询和复制已有密码。",[49,697,699],{"id":698},"q-14-天试用期结束不续费里面的密码会丢吗","Q: 14 天试用期结束不续费,里面的密码会丢吗?",[16,701,702],{},"A: 不会丢。订阅到期后账号会进入“只读冻结”状态:你依然可以打开客户端查看、复制所有存好的账号密码,也可以把数据完整导出为 CSV 或 1PUX 格式迁移走,只是不能再新增或修改条目。",[12,704,325],{"id":325},[16,706,707],{},"1Password 的总分由功能完整度、易用性、数据质量、性价比、客户支持五项指标加权得出,单项满分为 10 分。文中的订阅单价与加密机制细节已于 2026-11 对照 1Password 官网核实,下单时请以官方实时页面为准。",[16,709,710,712],{},[19,711,333],{},":2026-09-26",{"title":336,"searchDepth":337,"depth":337,"links":714},[715,716,717,722,729,730,731,737],{"id":14,"depth":337,"text":14},{"id":28,"depth":337,"text":28},{"id":47,"depth":337,"text":47,"children":718},[719,720,721],{"id":446,"depth":344,"text":446},{"id":455,"depth":344,"text":456},{"id":465,"depth":344,"text":466},{"id":81,"depth":337,"text":81,"children":723},[724,725,726,727,728],{"id":499,"depth":344,"text":500},{"id":506,"depth":344,"text":507},{"id":513,"depth":344,"text":514},{"id":520,"depth":344,"text":521},{"id":112,"depth":344,"text":113},{"id":119,"depth":337,"text":119},{"id":200,"depth":337,"text":200},{"id":285,"depth":337,"text":286,"children":732},[733,734,735,736],{"id":677,"depth":344,"text":678},{"id":684,"depth":344,"text":685},{"id":691,"depth":344,"text":692},{"id":698,"depth":344,"text":699},{"id":325,"depth":337,"text":325},[739,740,741,742],"不设永久免费档位,14 天试用期结束后只能查看既有条目,无法新增或修改","Teams Starter Pack 按 $19.95\u002F月固定打包 10 人计费,3 至 5 人微团队人均单价偏高","不支持完全离线的本地局域网自建同步服务,所有加密数据强制托管在官方云节点","中国大陆网络直连 1password.com 偶有同步延迟,且个人版支付需使用外币信用卡或礼品卡","2026-09-26","1Password 评测:个人年付 $2.99\u002F月起,双密钥加密机制与通行密钥支持扎实,适合重视跨设备凭证安全和员工权限回收的中小技术团队;不提供永久免费版,国内网络同步偶有延迟。",{},"坚持零预算使用免费开源方案的个人,或要求密码库 100% 物理隔离内网部署的涉密单位","\u002Ftools\u002Fsecurity\u002F1password",{"free":372,"startingPrice":749,"currency":380,"billingPeriod":381,"notes":750},"2.99","Individual 年付 $2.99\u002F月,Families 年付 $4.99\u002F月(含 5 人),Teams Starter Pack $19.95\u002F月(固定含 10 人),Business 年付 $7.99\u002F用户\u002F月。价格于 2026-11 核对官网定价页,均提供 14 天免费试用。",[752,753,754,755,756],"主密码加 34 位 Secret Key 双因素派生密钥,即便云端数据泄露也无法离线暴力破解","支持 SSH 密钥托管与 CLI 命令行注入,开发者可免明文配置本地环境变量","Watchtower 实时比对 Have I Been Pwned 泄露库,自动标记弱口令、重复口令与未开启二步验证的账户","Travel Mode 可在过境检查前临时隐藏敏感保险库,联网恢复后才重新同步到本地","Business 套餐赠送每位员工 1 个免费的 Families 家庭版名额,提升员工日常使用意愿",8.8,{"features":759,"ease":760,"data":761,"price":762,"support":395},9.1,9,8.9,8.1,{"title":408,"description":744},"tools\u002Fsecurity\u002F1password",[399,766,607,767],"密码管理器","身份凭证保护","https:\u002F\u002F1password.com","Igb3ulX4RC8_HnrCAzLo6MdaznS4Hyp-DIdVnPxeN-M",{"id":771,"title":772,"author":6,"bestFor":773,"body":774,"category":363,"cons":1114,"cover":369,"date":1119,"description":1120,"draft":372,"extension":373,"meta":1121,"navigation":375,"notFor":1122,"path":1123,"pricing":1124,"pros":1128,"score":395,"scoreBreakdown":1134,"seo":1136,"stem":1137,"tags":1138,"toolName":971,"updated":1119,"url":1142,"vendor":1143,"__hash__":1144},"tools\u002Ftools\u002Fsecurity\u002Faliyun-waf.md","阿里云WAF 评测","主站服务器、负载均衡与数据库本身就部署在阿里云上,需要过等保测评或防御日常 SQL 注入、CC 攻击与爬虫的国内业务团队",{"type":9,"value":775,"toc":1089},[776,778,784,787,789,803,805,809,812,815,819,826,833,837,840,843,845,849,852,856,859,861,864,868,871,875,878,880,941,959,961,1032,1037,1039,1043,1046,1050,1053,1057,1072,1076,1079,1081,1084],[12,777,14],{"id":14},[16,779,780,783],{},[19,781,782],{},"推荐给源站在阿里云上的国内生产业务,总分 8.6,包年包月基础版 980 元\u002F月起,低流量站点可选按量付费。"," 阿里云 Web 应用防火墙(简称阿里云WAF)最大的优势在于和自家云底座的丝滑咬合:只要你的业务挂在阿里云 ALB 或 CLB 负载均衡后面,点几下鼠标就能把流量引过清洗引擎,连 DNS 解析都不用动;而且每逢高危 Web 漏洞爆发,它的云端虚拟补丁跟进速度极快。",[16,785,786],{},"短板是套餐刀法很细:980 元\u002F月的基础版只管最常规的 SQL 注入、XSS 和基础 CC 拦截;一旦你的 App 接口被黑产写脚本刷短信验证码、薅优惠券,想开 Bot 机器流量管理就得跳到 3,880 元\u002F月的高级版并额外付模块费。源站不在阿里云的出海站点,用 Cloudflare 会划算得多。",[12,788,28],{"id":28},[30,790,791,794,797,800],{},[33,792,793],{},"定价核对:我们于 2026-11 查阅阿里云官网 Web 应用防火墙 WAF 3.0 产品定价页与价格计算器,核实了基础版(980 元\u002F月)、高级版(3,880 元\u002F月)、企业版(11,300 元\u002F月)的规格配额,以及按量付费模式下 SeCU(安全能力单元)的折算规则。",[33,795,796],{},"官方技术文档:我们查阅了阿里云帮助中心关于《WAF 3.0 云产品原生接入指南》《Bot 管理防爬虫配置手册》以及《SLS 全量日志字段说明》。",[33,798,799],{},"横向参照:我们同期比对了腾讯云 WAF、长亭雷池(SafeLine)以及 Cloudflare Pro\u002FBusiness 的公开报价与防护边界。",[33,801,802],{},"边界说明:我们未用分布式真实肉鸡网络对阿里云WAF 发起百万级 QPS 的极限 CC 压测,本文结论基于官方公开 SLA 文档与运维工程师的公开配置实践。",[12,804,47],{"id":47},[49,806,808],{"id":807},"免改-dns-的云产品原生引流与透明代理","免改 DNS 的云产品原生引流与透明代理",[16,810,811],{},"以前给网站套一层云 WAF,最让运维提心吊胆的操作就是去域名服务商后台把 A 记录改成 WAF 给的 CNAME 地址。一方面全球各地的本地 DNS 缓存生效慢,切换期间容易出现部分用户访问中断;另一方面一旦配错了 SSL 证书或回源端口,线上业务当场就会报 502 错误。",[16,813,814],{},"阿里云WAF 3.0 针对自家云上客户做了一套“云产品接入”模式。如果你的网站本来就挂在阿里云的应用型负载均衡(ALB)、传统型负载均衡(CLB)、微服务引擎(MSE)或者 API 网关后面,你根本不需要动任何一行 DNS 解析记录。直接在 WAF 控制台勾选对应的负载均衡实例和监听端口,阿里云底层虚拟网络就会把进站 HTTP\u002FHTTPS 流量自动旁路引流到 WAF 集群清洗后再送回源站。万一遇到业务故障需要紧急排查是不是 WAF 误拦,点一下“旁路卸载”就能秒级切回直连,对线上业务非侵入。",[49,816,818],{"id":817},"owasp-漏洞虚拟补丁与语义分析引擎","OWASP 漏洞虚拟补丁与语义分析引擎",[16,820,821,822,825],{},"企业买 WAF 的底线需求是防住 SQL 注入、跨站脚本(XSS)、命令执行、文件包含和 Webshell 上传。传统正则规则库最大的毛病是死板:要么稍微改个大小写绕过就漏报,要么把技术论坛里用户正常发帖写的 ",[471,823,824],{},"select * from"," 代码片段当成黑客攻击给误杀成 405 拦截页。",[16,827,828,829,832],{},"阿里云WAF 同时跑了正则特征库、主动防御重保规则组以及智能语义分析引擎。它的一个核心实用价值在于",[19,830,831],{},"高危 0day 漏洞的虚拟补丁响应速度","。当开源社区突然爆出类似 Fastjson 反序列化、Log4j2 远程代码执行或某个流行 OA 系统的未授权上传漏洞时,企业自己的研发团队往往没法在半天内把所有老旧项目重新编译打包发版。此时阿里云安全团队通常会在几小时内把针对该漏洞利用链的拦截规则推送到云端规则组,运维只需在后台把规则模式切到“拦截”,就能先在网关层把攻击数据包挡在门外,给后端程序员争取修代码的缓冲期。",[49,834,836],{"id":835},"bot-机器流量管理与-api-敏感数据盘点","Bot 机器流量管理与 API 敏感数据盘点",[16,838,839],{},"对于电商、票务、航空和带有登录发短信接口的移动 App 来说,现在最头疼的往往不是删库黑客,而是拿自动化脚本刷接口的羊毛党、比价爬虫和撞库工具。",[16,841,842],{},"在高级版及以上档位加购 Bot 管理模块后,阿里云WAF 可以通过网页端嵌入混淆 JS 探针、移动端集成 App 安全 SDK 来收集客户端设备指纹(如陀螺仪状态、Canvas 渲染特征、是否运行在模拟器或改机框架下)。哪怕黑产每秒切换一个真实的家庭宽带秒拨代理 IP,只要请求头里没有携带合法的 SDK 动态签名或设备指纹命中黑产工具箱特征,WAF 就会直接下发滑块验证码(Captcha)或者干脆返回假数据静默丢弃。同时,内置的 API 安全模块会自动梳理你域名下到底暴露了多少个活跃接口,标记出哪些接口在返回报文里明文吐出了身份证号、手机号或银行卡号,方便安全合规团队整改。",[12,844,81],{"id":81},[49,846,848],{"id":847},"功能完整度9010","功能完整度:9.0\u002F10",[16,850,851],{},"Web 基础漏洞防护、0day 虚拟补丁、频率控制(CC 防护)、防篡改、自定义黑白名单、Bot 反爬与 API 资产盘点一应俱全,还支持混合云反向代理接入本地机房。扣 1.0 分在于基础版阉割较多,大量进阶能力需要升档或单独买扩展包。",[49,853,855],{"id":854},"易用性8810","易用性:8.8\u002F10",[16,857,858],{},"同在阿里云账号下的负载均衡与域名可以实现几分钟内一键挂载,SSL 证书也能直接从阿里云数字证书中心自动拉取续期。扣分在于按量付费模式下的 SeCU(安全能力单元)换算公式非常绕,新手很难一眼算清开某个开关一天到底要扣几块钱。",[49,860,514],{"id":513},[16,862,863],{},"背靠阿里云与淘宝天猫多年的实战黑产对抗库,对境内常见的扫描器指纹、秒拨代理 IP 池、恶意爬虫特征的识别准确度很高,常规业务下的误报率控制得不错。扣分在海外冷门地区的威胁情报覆盖不如全球化 CDN 厂商广。",[49,865,867],{"id":866},"性价比7710","性价比:7.7\u002F10",[16,869,870],{},"按量付费模式对日均请求量几万次的小微站点很友好,一个月花不了百十来块钱。但一旦业务量上来转成包年包月,980 元\u002F月的基础版只有 2,000 QPS,升到高级版直接跳到 3,880 元\u002F月,再叠加上日志服务 SLS 的存储费,整体账单不算便宜。",[49,872,874],{"id":873},"客户支持8510","客户支持:8.5\u002F10",[16,876,877],{},"阿里云工单系统响应较快,文档中心对每一个拦截错误码(如 405 拦截页的 Trace ID 排查步骤)写得清清楚楚。扣分在于免费工单遇到极其复杂的业务误报调优时往返沟通慢,想要安全专家一对一写定制防爬规则得买企业版或护航服务。",[12,879,119],{"id":119},[121,881,882,895],{},[124,883,884],{},[127,885,886,889,892],{},[130,887,888],{},"套餐档位",[130,890,891],{},"价格(包年包月参考)",[130,893,894],{},"核心配额与能力说明",[140,896,897,908,919,930],{},[127,898,899,902,905],{},[145,900,901],{},"按量付费 (WAF 3.0)",[145,903,904],{},"按实际消耗 SeCU 结算",[145,906,907],{},"零月租门槛,按每天接入域名数、开启的功能模块数及处理的 QPS\u002F请求量动态折算扣费",[127,909,910,913,916],{},[145,911,912],{},"基础版",[145,914,915],{},"980 元\u002F月起",[145,917,918],{},"含 2,000 QPS 业务峰值、3 个主域名(30 个子域名);提供 OWASP 基础漏洞防护与基础 CC 拦截",[127,920,921,924,927],{},[145,922,923],{},"高级版",[145,925,926],{},"3,880 元\u002F月起",[145,928,929],{},"含 5,000 QPS 业务峰值、5 个主域名;开放高级自定义规则、支持加购 Bot 管理与 API 安全模块",[127,931,932,935,938],{},[145,933,934],{},"企业版",[145,936,937],{},"11,300 元\u002F月起",[145,939,940],{},"含 10,000 QPS 峰值、10 个主域名;面向大型政企与高并发核心业务,支持更大规模弹性扩缩",[16,942,943,944,947,948,951,952,955,958],{},"我们于 2026-11 核对阿里云官网价格计算器,买之前务必把这三笔附加账单算清楚:第一,",[19,945,946],{},"QPS 扩容与突发超量费",":基础版只包 2,000 QPS,如果你的网站做促销秒杀瞬间冲到 5,000 QPS,要么提前花钱买扩展 QPS 包,要么开启“弹性后付费”按超出的峰值额外扣钱,不买又不开弹性就会触发限流丢包。第二,",[19,949,950],{},"Bot 与 API 扩展包是另算的",":哪怕你已经付了 3,880 元\u002F月买高级版,防爬虫 Bot 管理和 App 防护依然属于增值模块,勾选启用后要额外按月或按 SeCU 加收费用。第三,",[19,953,954],{},"SLS 全量日志费",[956,957],"waf",{}," 控制台自带的免费报表只留存近期概览,如果要开启全量请求日志分析(过等保要求留存 6 个月以上日志),这笔钱是阿里云日志服务(SLS)按磁盘容量和索引流量每天从你账户余额里单扣的。",[12,960,200],{"id":200},[121,962,963,978],{},[124,964,965],{},[127,966,967,969,972,975],{},[130,968,209],{},[130,970,971],{},"阿里云WAF",[130,973,974],{},"Cloudflare (Pro\u002FBusiness)",[130,976,977],{},"长亭雷池 (SafeLine 企业版)",[140,979,980,993,1006,1019],{},[127,981,982,984,987,990],{},[145,983,225],{},[145,985,986],{},"深度集成阿里云底座的云原生 Web 防火墙",[145,988,989],{},"全球泛播 CDN 与边缘安全一体平台",[145,991,992],{},"基于智能语义分析的私有化\u002F容器化 WAF",[127,994,995,997,1000,1003],{},[145,996,239],{},[145,998,999],{},"按量付费 \u002F 包年包月 980 元\u002F月起",[145,1001,1002],{},"Free 免费 \u002F Pro $20\u002F月 \u002F Business $200\u002F月",[145,1004,1005],{},"社区版免费 \u002F 商业版按节点数万元\u002F年起",[127,1007,1008,1010,1013,1016],{},[145,1009,253],{},[145,1011,1012],{},"阿里云 ALB\u002FCLB 免改 DNS 一键接入、国内等保合规省心",[145,1014,1015],{},"全球边缘节点极多、不按 QPS 卡脖子、价格极便宜",[145,1017,1018],{},"智能语义引擎误报极低、支持本地内网与纯私有部署",[127,1020,1021,1023,1026,1029],{},[145,1022,267],{},[145,1024,1025],{},"高阶模块与 QPS 加购贵、海外边缘节点不及 CF",[145,1027,1028],{},"免费与低阶版国内直连延迟高、国内等保认可度不如本土云",[145,1030,1031],{},"需自己维护宿主机资源、无公有云超大带宽清洗池",[16,1033,1034,1036],{},[19,1035,281],{},":只要你的 ECS 服务器、RDS 数据库和负载均衡本来就全放在阿里云国内地域,且公司需要快速通过国内等保测评,别折腾跨云转发,直接开阿里云WAF 最稳;如果你做的是跨境电商独立站、AI 出海工具,用户全在欧美日韩,直接上 Cloudflare 的 $20\u002F月 Pro 或 $200\u002F月 Business 套餐;如果是金融机构、高校或内部政企系统,合规要求所有流量绝对不能绕到公有云第三方节点解密,选长亭雷池部署在自家机房或 Kubernetes 集群里。",[12,1038,286],{"id":285},[49,1040,1042],{"id":1041},"q-我的网站每天只有几千次访问买-980-元月的基础版太贵了怎么办","Q: 我的网站每天只有几千次访问,买 980 元\u002F月的基础版太贵了怎么办?",[16,1044,1045],{},"A: 千万别直接买包年包月基础版。在阿里云WAF 3.0 开通页面直接选**“按量付费”**模式(新用户通常还能领一个小额免费试用资源包)。对于只有 1 个域名、只开基础漏洞防护、日均几千到几万 PV 的小型官网或后台接口,按实际消耗的 SeCU 算下来,一天往往只扣 1 到 3 块钱,一个月花几十块钱就能搞定,而且同样能满足等保测评里“部署 Web 应用防火墙”的合规要求。",[49,1047,1049],{"id":1048},"q-阿里云服务器已经开了免费的安全组和云安全中心基础版还需要买-waf-吗","Q: 阿里云服务器已经开了免费的“安全组”和“云安全中心基础版”,还需要买 WAF 吗?",[16,1051,1052],{},"A: 管的事情完全不在一层。ECS 安全组只管传输层的 IP 和端口开关(比如只开放 80 和 443 端口,封掉 22 端口),但黑客发起的 SQL 注入、XSS 跨站脚本和网页挂马全都是走正常的 443 端口 HTTPS 协议进来的,安全组根本不拆开 HTTP 数据包看内容,完全拦不住。只要你有对外公开的网站、小程序接口或 OA 登录页,安全组替代不了 WAF。",[49,1054,1056],{"id":1055},"q-接了阿里云waf-之后后端-nginx-日志里看到的访客-ip-全变成了阿里云内网或回源段-ip怎么拿真实用户-ip","Q: 接了阿里云WAF 之后,后端 Nginx 日志里看到的访客 IP 全变成了阿里云内网或回源段 IP,怎么拿真实用户 IP?",[16,1058,1059,1060,1063,1064,1067,1068,1071],{},"A: 这是反向代理架构的标准现象。因为流量先到了 WAF 节点再由 WAF 替用户去请求你的源站,所以 TCP 连接层的源 IP 自然变成了 WAF 的回源 IP。解决方法很简单:阿里云WAF 默认会把真实访客的公网 IP 塞进 HTTP 请求头的 ",[471,1061,1062],{},"X-Forwarded-For"," 字段第一个位置;你只需要在源站 Nginx 配置文件里加上 ",[471,1065,1066],{},"set_real_ip_from \u003CWAF回源网段>"," 和 ",[471,1069,1070],{},"real_ip_header X-Forwarded-For",",后端业务代码和访问日志就能重新拿到真实客户端 IP 了。",[49,1073,1075],{"id":1074},"q-源站服务器在腾讯云或者自建机房能用阿里云waf-吗","Q: 源站服务器在腾讯云或者自建机房,能用阿里云WAF 吗?",[16,1077,1078],{},"A: 能用,走传统的“CNAME 接入”模式即可:把你的域名解析指向阿里云WAF 分配的 CNAME 地址,清洗完后再通过公网回源到你的腾讯云或自建机房 IP。但客观讲,如果源站全在腾讯云,直接用腾讯云自家的 WAF 可以走内网回源免公网流量费且少一次跨网跳数;跨云用阿里云WAF 不仅无法享受 ALB 免改 DNS 原生挂载的便利,还会多出一截跨运营商回源的网络延迟。",[12,1080,325],{"id":325},[16,1082,1083],{},"我们按照功能完整度、易用性、数据质量、性价比、客户支持五个维度进行评测,单项满分 10 分,加权计算总分。文中的套餐月费、QPS 配额及 SeCU 计费规则均在 2026-11 对照阿里云官方网站公开价格表核实,实际折扣与活动价请以阿里云控制台结算页为准。",[16,1085,1086,1088],{},[19,1087,333],{},":2026-09-29",{"title":336,"searchDepth":337,"depth":337,"links":1090},[1091,1092,1093,1098,1105,1106,1107,1113],{"id":14,"depth":337,"text":14},{"id":28,"depth":337,"text":28},{"id":47,"depth":337,"text":47,"children":1094},[1095,1096,1097],{"id":807,"depth":344,"text":808},{"id":817,"depth":344,"text":818},{"id":835,"depth":344,"text":836},{"id":81,"depth":337,"text":81,"children":1099},[1100,1101,1102,1103,1104],{"id":847,"depth":344,"text":848},{"id":854,"depth":344,"text":855},{"id":513,"depth":344,"text":514},{"id":866,"depth":344,"text":867},{"id":873,"depth":344,"text":874},{"id":119,"depth":337,"text":119},{"id":200,"depth":337,"text":200},{"id":285,"depth":337,"text":286,"children":1108},[1109,1110,1111,1112],{"id":1041,"depth":344,"text":1042},{"id":1048,"depth":344,"text":1049},{"id":1055,"depth":344,"text":1056},{"id":1074,"depth":344,"text":1075},{"id":325,"depth":337,"text":325},[1115,1116,1117,1118],"包年包月基础版 980 元\u002F月仅含 2,000 QPS 峰值与 3 个主域名额度,且阉割了 Bot 防护与 API 安全模块","要想用上防爬虫、App SDK 加固、自定义高阶 CC 防护或敏感数据防泄漏,必须上 3,880 元\u002F月的高级版或单独加购","如果开启全量访问日志投递到 SLS 日志服务,高并发站点每个月产生的日志存储与索引账单甚至会逼近 WAF 本身费用","针对欧美及东南亚海外访客的边缘清洗节点数量与免备案接入灵活度,不如 Cloudflare","2026-09-29","阿里云WAF 评测:包年包月基础版 980 元\u002F月起,高级版 3,880 元\u002F月起,亦支持按量付费。与 ALB、CLB、CDN 一键引流免改 DNS,0day 虚拟补丁下发极快,适合主业务跑在阿里云上的团队;非阿里云源站或多云架构额外加购 QPS 与混合云节点后成本偏高。",{},"月总预算不到 200 元的个人站长,或源站全在海外 AWS、面向全球访客且追求大带宽免费抗 DDoS 的出海独立站","\u002Ftools\u002Fsecurity\u002Faliyun-waf",{"free":372,"startingPrice":1125,"currency":1126,"billingPeriod":381,"notes":1127},"980","CNY","支持按量付费与包年包月两种模式:包年包月基础版 980 元\u002F月起,高级版 3,880 元\u002F月起,企业版 11,300 元\u002F月起;按量付费按请求处理量 SeCU 与功能模块计费(提供小额免费试用额度)。价格于 2026-11 核对阿里云官网。",[1129,1130,1131,1132,1133],"阿里云上的 ALB、MSE、CLB、函数计算可一键勾选云产品原生接入,无需手动修改域名 CNAME 解析","爆发诸如 Log4j2、Spring4Shell、Struts2 等高危 0day 漏洞时,云端虚拟补丁规则通常在数小时内全网自动同步","结合阿里电商大促攻防经验的 Bot 管理模块,对黄牛抢购脚本、撞库工具与恶意爬虫识别较准","WAF 3.0 支持按量付费(按 SeCU 安全能力单元结算),低频访问的小程序或测试接口每月只需几十元","与阿里云日志服务 SLS 打通,可保存全量 HTTP 请求与拦截头信息,直接跑 SQL 做攻击溯源报表",{"features":760,"ease":757,"data":761,"price":1135,"support":389},7.7,{"title":772,"description":1120},"tools\u002Fsecurity\u002Faliyun-waf",[399,1139,971,1140,1141],"Web应用防火墙","防爬虫","API安全","https:\u002F\u002Fwww.aliyun.com\u002Fproduct\u002Fwaf","阿里云","RIBq0KvqrIK8YIPFSvfjJQgCL4x3ZVrYh3mAnctdLAw",{"id":1146,"title":1147,"author":6,"bestFor":1148,"body":1149,"category":363,"cons":1451,"cover":369,"date":1456,"description":1457,"draft":372,"extension":373,"meta":1458,"navigation":375,"notFor":1459,"path":1460,"pricing":1461,"pros":1464,"score":1470,"scoreBreakdown":1471,"seo":1473,"stem":1474,"tags":1475,"toolName":1316,"updated":1456,"url":1478,"vendor":1316,"__hash__":1479},"tools\u002Ftools\u002Fsecurity\u002Fsangfor.md","深信服 评测","100 人以上、有国家网络安全等级保护(等保 2.0)测评硬指标、或拥有多分支机构需内网安全互联的中大型政企与民营企业",{"type":9,"value":1150,"toc":1426},[1151,1153,1159,1162,1164,1178,1180,1184,1187,1190,1194,1197,1200,1204,1207,1210,1212,1216,1219,1223,1226,1230,1233,1237,1240,1244,1247,1249,1297,1304,1306,1377,1382,1384,1388,1391,1395,1398,1402,1409,1413,1416,1418,1421],[12,1152,14],{"id":14},[16,1154,1155,1158],{},[19,1156,1157],{},"推荐给有等保合规与内网边界管控需求的中大型企业,总分 8.4,官网未公开标准报价(需走渠道询价)。"," 深信服是国内商业企业市场最常见的网络安全与基础架构厂商之一,拳头产品包括上网行为管理(AC)、下一代防火墙(AF)、零信任访问控制(aTrust)以及终端检测响应(EDR)。它的核心优势在于把复杂的安全策略做成了中文网管看得懂的图形报表,且网端云联动顺畅。",[16,1160,1161],{},"短板在于价格体系完全走线下渠道报备制,信息不透明;而且硬件买断只是开始,后续每年的特征库升级与子模块授权续费是一笔长期固定开支。全员远程、没有任何本地机房或内网服务器的纯云原生小团队没必要买它的硬件盒子。",[12,1163,28],{"id":28},[30,1165,1166,1169,1172,1175],{},[33,1167,1168],{},"定价与商务模式:我们于 2026-11 核对深信服官网产品中心与试用申请页,确认官方不公开硬件型号与软件许可证标准单价,均需提交企业信息由区域销售或认证代理商出配置单。",[33,1170,1171],{},"产品技术文档:我们查阅了深信服社区(bbs.sangfor.com.cn)公开的《下一代防火墙 AF 用户手册》《全网行为管理 AC 部署指南》以及《零信任 aTrust 架构白皮书》。",[33,1173,1174],{},"行业横向参考:我们比对了奇安信、天融信、山石网科在同档位防火墙及零信任网关上的功能边界与交付形态。",[33,1176,1177],{},"边界说明:我们未在万兆流量压测实验室中对深信服全系硬件做极限吞吐率打流测试,以下判断基于官方公开技术参数与企业 IT 运维人员的公开实操反馈。",[12,1179,47],{"id":47},[49,1181,1183],{"id":1182},"全网行为管理ac与外发泄密审计","全网行为管理(AC)与外发泄密审计",[16,1185,1186],{},"深信服最早在企业市场站稳脚跟靠的就是 AC(全网行为管理)和 VPN。很多制造企业、设计院或外贸公司买它的第一诉求很直白:看清办公室几百号人上班时间到底在干什么、防止员工把核心图纸通过个人网盘或聊天软件传出去。",[16,1188,1189],{},"AC 内置的应用识别规则库针对中国本土互联网环境做了专门维护,覆盖了微信、QQ、飞书、钉钉、百度网盘、迅雷以及各类短视频、网游和股票软件。管理员可以在后台按部门设带宽配额:比如限制午休以外的时间段刷短视频总带宽不超过 10Mbps,保障 ERP 和视频会议不卡顿;或者开启 SSL 解密审计,当研发部门有人尝试通过网页端邮箱、微信文件传输助手外发超过 5MB 的压缩包时,自动拦截并留存附件副本供合规回溯。",[49,1191,1193],{"id":1192},"下一代防火墙af与网端-edr-联动","下一代防火墙(AF)与网端 EDR 联动",[16,1195,1196],{},"深信服的下一代防火墙 AF 把传统状态检测防火墙、WAF(Web 应用防护)、IPS(入侵防御)和防病毒模块揉进了一个机架式盒子里。对于人手紧张的企业 IT 部门来说,它最好用的地方不是性能参数有多夸张,而是“说人话的运维界面”与“网端联动”。",[16,1198,1199],{},"传统防火墙报警往往只给一行冷冰冰的源 IP、目的 IP 和端口号,网管根本不知道是哪台电脑中了什么毒。当企业同时部署了深信服 AF 防火墙和终端 EDR 代理后,一旦内网某台财务电脑中了勒索病毒或向境外 C2 控制服务器发起异常连接,防火墙在边界阻断流量的同时,会直接指挥该电脑上的 EDR 客户端把恶意进程杀掉,或者干脆将该主机从内网逻辑隔离,防止病毒顺着局域网 445 端口横向传染给文件服务器。",[49,1201,1203],{"id":1202},"零信任-atrust-替代传统-ssl-vpn","零信任 aTrust 替代传统 SSL VPN",[16,1205,1206],{},"早几年几乎所有国内公司的员工在家办公都装过深信服的 EasyConnect(SSL VPN)。但传统 VPN 有个致命伤:只要员工账号密码验证通过,拨入内网后往往就能直接 ping 通整个内网网段,一旦员工家里电脑中毒,内网就门户大开。",[16,1208,1209],{},"近两年深信服主推零信任访问控制系统 aTrust 来接班传统 VPN。aTrust 推行“先认证、后连接”的 SPA 单包授权机制,把认证网关藏在暗处,公网扫描器扫不到开放端口。员工在电脑或手机上打开 aTrust 客户端登录时,系统会持续检查终端环境:杀毒软件开没开、系统补丁打没打、是不是在陌生的网吧电脑上登录。哪怕账号密码是对的,如果检测到设备被植入了远控木马,权限引擎也会动态降权,只允许他看普通公告网页,实时切断他对核心代码库和财务系统的访问通道。",[12,1211,81],{"id":81},[49,1213,1215],{"id":1214},"功能完整度8910","功能完整度:8.9\u002F10",[16,1217,1218],{},"从边界防火墙、上网行为管理、终端 EDR、零信任网关到安全托管服务(MSS)和超融合 HCI,中大型企业过等保二级、三级所需的全套安全组件可以在它一家凑齐。扣 1.1 分在于超高端数据中心核心交换侧的百 G 级超低时延硬件表现,与专攻底层芯片的硬件大厂仍有细微差距。",[49,1220,1222],{"id":1221},"易用性8510","易用性:8.5\u002F10",[16,1224,1225],{},"控制台的中文报表和策略排障向导可以说是国内安全厂商里最照顾普通网管的,老板想看的“员工上网行为周报”和“外部攻击拦截月报”都能一键导出 PDF。扣分点在于终端客户端软件存在感较强,多套 Agent 叠加时对老旧办公电脑的资源占用偏高。",[49,1227,1229],{"id":1228},"数据质量8410","数据质量:8.4\u002F10",[16,1231,1232],{},"针对国内本土办公应用、本土变种木马和国内黑产 IP 情报库的更新速度很快,误报率控制在可用范围内。扣分在于部分加密流量的深度识别高度依赖在终端安装根证书做中间人解密,遇到开启了证书固定(Certificate Pinning)的手机 App 时无法拆包。",[49,1234,1236],{"id":1235},"性价比7510","性价比:7.5\u002F10",[16,1238,1239],{},"和海外大牌 Palo Alto Networks 或 Fortinet 动辄高昂的美元报价相比,深信服的首次硬件采购门槛更容易被国内民企接受。但扣分在于渠道报备制度导致价格不够透明,且过保后的软件特征库年费如果不续,防火墙就会退化成普通路由器。",[49,1241,1243],{"id":1242},"客户支持8710","客户支持:8.7\u002F10",[16,1245,1246],{},"深信服在国内各省市都有庞大的渠道技术团队和原厂二线支持,官方技术社区(深信服社区)公开了极其详尽的配置手册与故障排查贴,不用登录也能搜到大部分报错解法。扣分在于小客户如果买的是低端入门型号,主要靠当地代理商售后,服务水准受具体代理商能力波动。",[12,1248,119],{"id":119},[121,1250,1251,1264],{},[124,1252,1253],{},[127,1254,1255,1258,1261],{},[130,1256,1257],{},"产品线\u002F交付形态",[130,1259,1260],{},"价格区间",[130,1262,1263],{},"计费与授权说明",[140,1265,1266,1277,1287],{},[127,1267,1268,1271,1274],{},[145,1269,1270],{},"下一代防火墙 AF \u002F 行为管理 AC",[145,1272,1273],{},"官网未公开标准报价",[145,1275,1276],{},"按硬件型号(吞吐量\u002F并发连接数)阶梯定价,另按年收取规则库与软件升级费",[127,1278,1279,1282,1284],{},[145,1280,1281],{},"零信任 aTrust",[145,1283,1273],{},[145,1285,1286],{},"通常由控制中心软件\u002F硬件底座 + 按并发或注册用户数计费的客户端席位授权组成",[127,1288,1289,1292,1294],{},[145,1290,1291],{},"终端安全 EDR \u002F 安全托管 MSS",[145,1293,1273],{},[145,1295,1296],{},"EDR 按受控 PC 与服务器探针数量(点数)按年或按周期授权;MSS 按托管资产规模按年签约",[16,1298,1299,1300,1303],{},"我们于 2026-11 核对深信服官网,所有安全硬件与软件均不挂公开标价,统一走销售与渠道商项目报备制。企业在做预算时一定要问清三笔隐藏开销:第一,报价单里到底包了",[19,1301,1302],{},"几年","的软件特征库升级服务(通常默认含 1 年或 3 年,到期后续保年费大约是硬件采购价的 15% 至 25%)。第二,防火墙盒子里自带的基础功能之外,像云脑威胁情报、防病毒引擎、WAF 防护模块是不是需要单独勾选加钱买 License。第三,如果选择虚拟化软件版部署在自家服务器上,看清是按虚拟 CPU 核数还是按带宽限速计费。",[12,1305,200],{"id":200},[121,1307,1308,1323],{},[124,1309,1310],{},[127,1311,1312,1314,1317,1320],{},[130,1313,209],{},[130,1315,1316],{},"深信服",[130,1318,1319],{},"奇安信",[130,1321,1322],{},"Fortinet (飞塔)",[140,1324,1325,1338,1351,1364],{},[127,1326,1327,1329,1332,1335],{},[145,1328,225],{},[145,1330,1331],{},"聚焦商业企业与泛政企的安全及云计算厂商",[145,1333,1334],{},"强于大型政企、国央企与实战攻防的重型安全商",[145,1336,1337],{},"具备自研 ASIC 安全芯片的全球头部防火墙厂商",[127,1339,1340,1342,1345,1348],{},[145,1341,239],{},[145,1343,1344],{},"官网不公开,联系渠道询价",[145,1346,1347],{},"官网不公开,按项目集成报价",[145,1349,1350],{},"硬件起步数千元至数万美元不等,公开透明",[127,1352,1353,1355,1358,1361],{},[145,1354,253],{},[145,1356,1357],{},"中文控制台极易上手、AC 应用识别准、网端联动顺",[145,1359,1360],{},"威胁情报库庞大、天擎终端管控严、政企攻防演练强",[145,1362,1363],{},"自研芯片转发性能极强、SD-WAN 成熟、性价比高",[127,1365,1366,1368,1371,1374],{},[145,1367,267],{},[145,1369,1370],{},"终端客户端资源占用常被员工吐槽、续保费不便宜",[145,1372,1373],{},"产品线庞杂、中小型民企轻量化交付略重",[145,1375,1376],{},"本土办公软件(如微信\u002F网盘)细粒度行为审计不如深信服",[16,1378,1379,1381],{},[19,1380,281],{},":如果是 100 到 2000 人的民营制造业、医院、高校或金融分支机构,IT 部门只有两三个网管,既要过等保又要管员工上网和远程办公,选深信服最省心;如果是大型国央企、部委单位,重头戏在实战攻防演练(护网)、态势感知平台和全套信创合规,奇安信更对口;如果是跨国公司分支组网,看重纯网络包转发吞吐量和海外分支 SD-WAN 互联,不怎么需要审计国内聊天软件,选 Fortinet。",[12,1383,286],{"id":285},[49,1385,1387],{"id":1386},"q-为什么深信服官网上查不到任何一台防火墙的具体价格","Q: 为什么深信服官网上查不到任何一台防火墙的具体价格?",[16,1389,1390],{},"A: 国内企业级硬件安全市场普遍采用“厂商指导价 + 渠道项目报备”的销售体制。同一款硬件外壳下,开启的吞吐量授权、并发数、IPS\u002FWAF\u002F防病毒功能模块组合千差万别,而且不同行业和采购台数的折扣率差异很大。建议采购时先明确自己公司的出口带宽(如千兆还是万兆)和内网终端数量,同时找 2 到 3 家认证代理商出详细配置清单比价。",[49,1392,1394],{"id":1393},"q-买深信服防火墙过等保-20第二年不续特征库年费会怎样","Q: 买深信服防火墙过等保 2.0,第二年不续特征库年费会怎样?",[16,1396,1397],{},"A: 设备不会立刻断网停机,基础的端口映射、NAT 转换和固定 IP 包过滤规则还能继续跑。但是,你的病毒库、IPS 漏洞特征库和 WAF 规则库会停止更新,云端沙箱和实时威胁情报联动也会失效。这不仅意味着防不住新爆发的漏洞,在每年的等保复测中也会因为“恶意代码防范和入侵防范特征库未保持更新”而被测评机构开具高风险整改项。",[49,1399,1401],{"id":1400},"q-员工总抱怨电脑装了-easyconnect-或-atrust-后变卡怎么解决","Q: 员工总抱怨电脑装了 EasyConnect 或 aTrust 后变卡,怎么解决?",[16,1403,1404,1405,1408],{},"A: 这种情况往往是因为后台服务常驻及安全基线扫描策略配得太激进。管理员可以在控制台调整两处设置:一是把终端全盘扫描错峰改到中午或下班时段,并对研发人员本地频繁读写的 ",[471,1406,1407],{},"node_modules"," 或编译目录配置白名单豁免;二是逐步把老旧的 EasyConnect 升级到新版 aTrust 客户端,关掉不必要的开机自启项。",[49,1410,1412],{"id":1411},"q-小公司只有-50-个人不想买几万块的硬件放机房能用深信服吗","Q: 小公司只有 50 个人,不想买几万块的硬件放机房,能用深信服吗?",[16,1414,1415],{},"A: 可以看深信服近两年推的云安全访问服务(SASE)或安全托管服务(MSS),也可以在阿里云、腾讯云镜像市场里直接按月租用深信服虚拟化下一代防火墙(vAF)。不过坦白讲,如果公司只有 50 人且业务全在公有云上,直接用云厂商原生的安全组加云 WAF 往往更省钱,没必要专门再搭一套传统边界硬件。",[12,1417,325],{"id":325},[16,1419,1420],{},"我们从功能完整度、易用性、数据质量、性价比、客户支持五个维度进行综合评估,单项 0 至 10 分,加权计算总分。本文涉及的产品线型号、功能逻辑及商务询价模式均于 2026-11 对照深信服官方网站及官方技术社区公开资料核对,具体项目报价请以深信服官方或授权代理商合同为准。",[16,1422,1423,1425],{},[19,1424,333],{},":2026-10-11",{"title":336,"searchDepth":337,"depth":337,"links":1427},[1428,1429,1430,1435,1442,1443,1444,1450],{"id":14,"depth":337,"text":14},{"id":28,"depth":337,"text":28},{"id":47,"depth":337,"text":47,"children":1431},[1432,1433,1434],{"id":1182,"depth":344,"text":1183},{"id":1192,"depth":344,"text":1193},{"id":1202,"depth":344,"text":1203},{"id":81,"depth":337,"text":81,"children":1436},[1437,1438,1439,1440,1441],{"id":1214,"depth":344,"text":1215},{"id":1221,"depth":344,"text":1222},{"id":1228,"depth":344,"text":1229},{"id":1235,"depth":344,"text":1236},{"id":1242,"depth":344,"text":1243},{"id":119,"depth":337,"text":119},{"id":200,"depth":337,"text":200},{"id":285,"depth":337,"text":286,"children":1445},[1446,1447,1448,1449],{"id":1386,"depth":344,"text":1387},{"id":1393,"depth":344,"text":1394},{"id":1400,"depth":344,"text":1401},{"id":1411,"depth":344,"text":1412},{"id":325,"depth":337,"text":325},[1452,1453,1454,1455],"官网完全不透明标价,不同区域代理商报出的折扣差距大,采购前必须多方比价","首年硬件买断后,次年起的 IPS 规则库、防病毒库、云脑情报订阅续费占原价比例不小","部分早期型号的 SSL VPN 历史上曾被通报过高危漏洞,存量老设备必须高频盯紧补丁升级","终端装满 EasyConnect 或 aTrust 加 EDR 客户端后,低配办公电脑开机与扫描时段偶有风扇狂转卡顿","2026-10-11","深信服 评测:官网不公开标准单价,需联系渠道商按并发与模块询价。下一代防火墙 AF、零信任 aTrust 与上网行为管理 AC 在国内企业市场装机量极大,适合有等保合规与分支组网需求的中大型机构;软件特征库续费和模块授权叠加后总成本不低。",{},"全业务跑在公有云 Serverless 上、只有十几台办公电脑且无需过等保的早期互联网初创小团队","\u002Ftools\u002Fsecurity\u002Fsangfor",{"free":372,"startingPrice":336,"currency":1126,"billingPeriod":1462,"notes":1463},"年","官网未公开标准报价,需联系销售或渠道商报价,2026-11 核对。硬件设备按吞吐量档位买断或租赁,威胁情报库、云端沙箱与软件订阅模块按年续费。",[1465,1466,1467,1468,1469],"上网行为管理 AC 对国内主流办公软件、短视频与网盘外发协议的识别率极高,审计报表直观","下一代防火墙 AF 与终端安全 EDR 能通过云脑联动,发现木马外联时自动在边界与终端双侧阻断","零信任访问控制系统 aTrust 逐步替代传统 SSL VPN,支持按终端健康度与身份动态收敛内网暴露面","管理控制台全中文图形化向导成熟,普通企业网管无需背诵复杂命令行即可配通等保策略","全国地市级代理商与原厂驻场工程师覆盖密,硬件故障备机替换与护网值守响应快",8.4,{"features":761,"ease":389,"data":1470,"price":1472,"support":393},7.5,{"title":1147,"description":1457},"tools\u002Fsecurity\u002Fsangfor",[399,1316,1476,402,1477],"下一代防火墙","上网行为管理","https:\u002F\u002Fwww.sangfor.com.cn","EHedaDBZQZ2uU08pVdicVPJnfaTiYzCH3q7RONGiKJo",1794088445456]