[{"data":1,"prerenderedAt":1473},["ShallowReactive",2],{"tool-security-qianxin":3,"related-security-qianxin":381},{"id":4,"title":5,"author":6,"bestFor":7,"body":8,"category":340,"cons":341,"cover":346,"date":347,"description":348,"draft":349,"extension":350,"meta":351,"navigation":352,"notFor":353,"path":354,"pricing":355,"pros":359,"score":365,"scoreBreakdown":366,"seo":372,"stem":373,"tags":374,"toolName":197,"updated":347,"url":379,"vendor":197,"__hash__":380},"tools\u002Ftools\u002Fsecurity\u002Fqianxin.md","奇安信 评测","元析评测","大型国有企业、金融机构、政府部委、能源电力单位,以及有国产化信创替换硬指标和年度实战攻防演练任务的集团型企业",{"type":9,"value":10,"toc":312},"minimark",[11,15,23,26,29,45,48,52,55,62,65,68,71,75,78,81,84,88,91,95,98,102,105,109,112,116,119,122,176,183,186,262,268,272,276,279,283,286,290,293,297,300,303,306],[12,13,14],"h2",{"id":14},"结论先行",[16,17,18,22],"p",{},[19,20,21],"strong",{},"推荐给大型政企、金融机构及有信创合规与护网演练硬任务的集团单位,总分 8.3,官网未公开标准报价(按项目或席位询价)。"," 奇安信是国内人员规模与政企装机量最大的网络安全厂商之一,核心拳头产品是天擎(终端安全管理系统)、天眼(高级威胁检测系统)以及 NGSOC(态势感知与安全运营平台)。如果你所在的单位每年要应付实战攻防演练、或者办公电脑正在大面积替换成麒麟、统信等信创系统,奇安信基本是绕不开的必选项。",[16,24,25],{},"它的短板在于整体架构偏重,完全是为有专职安全团队的大甲方设计的。如果是百十来人的普通民营公司,既没有专门看告警日志的安全工程师,也没有几百万的机房建设预算,上奇安信的重型平台会面临“买得起也用不转”的尴尬。",[12,27,28],{"id":28},"这篇评测基于什么数据",[30,31,32,36,39,42],"ul",{},[33,34,35],"li",{},"定价与采购机制:我们于 2026-11 核对奇安信官网产品页与商务咨询入口,确认全线软硬件产品均不公示目录价,需由政企客户经理或授权集成商按项目立项报价。",[33,37,38],{},"产品与情报资料:我们查阅了奇安信官网公开的《天擎终端安全管理系统白皮书》《天眼新一代威胁感知系统技术说明》以及奇安信威胁情报中心(ti.qianxin.com)公开发布的 APT 追踪报告与 IOC 样本库。",[33,40,41],{},"招投标与同业比对:我们参考了公开政企采购网中关于终端安全、态势感知平台的常见选型配置,并与深信服、启明星辰、安恒信息的同类型产品做了对比。",[33,43,44],{},"边界说明:我们未在真实生产内网向奇安信天眼系统投喂未公开的 0day 样本做极限检出率实测,以下评价基于官方公开技术指标与甲方安全运维工程师的公开复盘。",[12,46,47],{"id":47},"核心功能",[49,50,51],"h3",{"id":51},"天擎终端安全管理与信创全栈适配",[16,53,54],{},"在大型国央企和部委里,几万台办公电脑的桌面管控是个巨大的工程。奇安信天擎把防病毒、终端准入控制、补丁集中分发、外设管控(禁 U 盘、禁蓝牙、禁私接随身 Wi-Fi)、软件安装黑白名单以及 EDR(终端检测与响应)集成到了同一个客户端里。",[16,56,57,58,61],{},"它目前最大的竞争壁垒是",[19,59,60],{},"国产化信创适配深度","。很多海外杀毒软件甚至国内部分中小型安全工具,一遇到龙芯、飞腾、兆芯、申威、鲲鹏、海光这六大国产 CPU,配上统信 UOS 或银河麒麟桌面系统就会水土不服甚至蓝屏死机。天擎不仅在这类信创终端上提供了与 Windows 端一致的策略下发能力,还能在同一个管理控制中心里混合纳管老旧的 Windows 7、Windows 11、macOS、Linux 服务器和国产信创电脑,帮甲方省掉了两套后台来回切换的麻烦。",[49,63,64],{"id":64},"天眼高级威胁检测与威胁情报中心",[16,66,67],{},"传统防火墙靠死板的特征码拦攻击,遇到黑客专门针对某家大型单位定制的免杀木马或钓鱼邮件往往毫无反应。奇安信的“天眼”系统走的是旁路全流量镜像分析路线:通过交换机分光或镜像端口,把进出企业内网的所有流量喂给流量传感器(探针),还原出里面夹带的邮件附件、网页脚本、DNS 请求和异常加密连接。",[16,69,70],{},"一旦抓到可疑文件,系统会先扔进本地沙箱里动态跑一遍看行为,同时跟奇安信云端的威胁情报库(QAX-TI)做实时碰撞。因为奇安信在国内拥有极高基数的终端探针和历史攻防案例积累,它对境内活跃的勒索软件家族、挖矿木马 C2 域名以及针对特定行业的 APT(高级持续性威胁)攻击组织的指纹库非常准。在每年的实战攻防演练中,防守方往往就是靠天眼抓取内网横向移动的异常黄金票据或 Webshell 流量来锁定红队攻击源。",[49,72,74],{"id":73},"ngsoc-态势感知与-soar-自动编排","NGSOC 态势感知与 SOAR 自动编排",[16,76,77],{},"当一家大型集团装了十几台防火墙、WAF、数据库审计和几万个终端探针后,每天产生的安全告警日志高达上千万条,靠人眼看根本看不过来。奇安信 NGSOC(安全运营中心平台)干的活就是把这些五花八门的设备日志全收拢过来做关联降噪。",[16,79,80],{},"它会把孤立的告警串成一条完整的攻击链:比如“某外网 IP 先扫了公网 OA 系统的漏洞 → 成功上传了木马文件 → 接着通过该 OA 服务器向内网域控发起了 SMB 暴力破解”,并把这几百条碎告警合并成 1 条高危事件推到值班人员屏幕上。配合内置的 SOAR(安全编排自动化与响应)剧本,值班员点一下按钮,平台就能自动调接口去边界防火墙封禁那个外网 IP,同时通知天擎把那台被攻陷的 OA 服务器断网隔离。",[12,82,83],{"id":83},"评分明细",[49,85,87],{"id":86},"功能完整度9110","功能完整度:9.1\u002F10",[16,89,90],{},"从底层的代码安全检查(奇安信代码卫士)、终端天擎、边界网神防火墙、数据安全网关、零信任到顶层的天眼与 NGSOC 态势感知,产品线覆盖度在国内几乎没有死角,信创名录资质也极全。扣 0.9 分在于各条产品线体量过于庞大,跨产品线的轻量化整合对中小客户不够友好。",[49,92,94],{"id":93},"易用性7810","易用性:7.8\u002F10",[16,96,97],{},"天眼和 NGSOC 属于典型的“给安全行家开的战斗机座舱”,界面里全是攻击载荷、PCAP 数据包回溯、YARA 规则和 ATT&CK 矩阵映射。如果单位里没有专门懂网络攻防的安全分析员,普通兼职网管面对满屏告警往往不知道该怎么研判是误报还是真被黑了。",[49,99,101],{"id":100},"数据质量9010","数据质量:9.0\u002F10",[16,103,104],{},"奇安信威胁情报中心对中文互联网黑产、境内钓鱼基础设施以及周边地缘 APT 组织的追踪能力处于国内第一梯队,天眼沙箱的动态行为拆解准确度很高。扣分点在于当全流量探针面对超大并发加密流量且未配置 SSL 卸载证书时,有效载荷还原率会受物理限制。",[49,106,108],{"id":107},"性价比7410","性价比:7.4\u002F10",[16,110,111],{},"这是一套面向中大型政企预算体系设计的产品。全流量探针硬件、分析平台服务器加上每年的威胁情报订阅和护网驻场人天费用,动辄几十万到数百万人民币起步,中小型民营企业很难承受这套总拥有成本。",[49,113,115],{"id":114},"客户支持8510","客户支持:8.5\u002F10",[16,117,118],{},"奇安信在全国各地的应急响应中心(CERT)和重保驻场团队极其庞大,一旦客户发生勒索病毒爆发或重大安全事件,原厂工程师能很快赶到机房现场拔网线、扣硬盘做取证溯源。扣分在于非重点期的常规软件小版本升级与定制需求排期流程较长。",[12,120,121],{"id":121},"定价说明",[123,124,125,141],"table",{},[126,127,128],"thead",{},[129,130,131,135,138],"tr",{},[132,133,134],"th",{},"核心产品线",[132,136,137],{},"价格标准",[132,139,140],{},"计费与商务模式说明",[142,143,144,156,166],"tbody",{},[129,145,146,150,153],{},[147,148,149],"td",{},"奇安信天擎 (终端安全)",[147,151,152],{},"官网未公开标准报价",[147,154,155],{},"按受控终端数量(PC 点数 \u002F 服务器点数)阶梯购买授权,防病毒、EDR、信创模块可按需组合",[129,157,158,161,163],{},[147,159,160],{},"天眼 (高级威胁检测)",[147,162,152],{},[147,164,165],{},"由流量传感器硬件(按吞吐量如 1G\u002F10G 选型)、本地文件沙箱与分析平台 + 年度威胁情报订阅组成",[129,167,168,171,173],{},[147,169,170],{},"NGSOC (态势感知) & 安服",[147,172,152],{},[147,174,175],{},"平台按接入日志 EPS(每秒事件数)或资产规模授权;渗透测试、攻防演练值守按工程师级别×人天计费",[16,177,178,179,182],{},"我们于 2026-11 核对奇安信官方网站,所有企业级产品均不提供在线自助下单,需通过官方 400 电话、在线表单或各地集成商渠道立项询价。甲方便在做年度预算时要注意三点:第一,天眼这类威胁检测产品高度仰仗",[19,180,181],{},"每年的云端威胁情报库(TI)订阅续费",",如果第二年砍掉情报续费预算,检出新型变种攻击的能力会大打折扣。第二,天擎终端授权要把普通办公 PC 点数和 Linux\u002FWindows 服务器点数分开算,服务器单点授权价格通常显著高于普通办公电脑。第三,如果采购合同里包含了重大活动期间的现场值守服务,务必在合同里写明驻场工程师的级别(初级值守还是高级研判专家)以及具体人天数。",[12,184,185],{"id":185},"和竞品对比",[123,187,188,204],{},[126,189,190],{},[129,191,192,195,198,201],{},[132,193,194],{},"维度",[132,196,197],{},"奇安信",[132,199,200],{},"深信服",[132,202,203],{},"启明星辰",[142,205,206,220,234,248],{},[129,207,208,211,214,217],{},[147,209,210],{},"定位",[147,212,213],{},"强于终端信创、威胁情报与实战攻防的政企安全巨头",[147,215,216],{},"强于网络边界管控、零信任与超融合的商业及泛政企厂商",[147,218,219],{},"老牌政企合规、网关硬件与移动云安全主力厂商",[129,221,222,225,228,231],{},[147,223,224],{},"起步价",[147,226,227],{},"官网不公开,按点数\u002F项目询价",[147,229,230],{},"官网不公开,联系渠道询价",[147,232,233],{},"官网不公开,按政企集采与项目报价",[129,235,236,239,242,245],{},[147,237,238],{},"优势",[147,240,241],{},"天擎信创适配极全、天眼威胁情报准、护网安服团队大",[147,243,244],{},"中文后台对普通网管极友好、AC 行为管理与 aTrust 好用",[147,246,247],{},"传统入侵检测 IDS\u002FIPS、数据安全与运营商级集成深厚",[129,249,250,253,256,259],{},[147,251,252],{},"短板",[147,254,255],{},"平台偏重需专人运营、中小民企落地门槛高",[147,257,258],{},"重型攻防演练与 APT 情报溯源深度略逊于奇安信",[147,260,261],{},"终端轻量化体验与新型云原生工具迭代相对稳健保守",[16,263,264,267],{},[19,265,266],{},"怎么选",":如果你是国央企、银行、证券、三甲医院或政府机关,手里有明确的信创终端替换任务,或者每年必须参加真刀真枪的红蓝对抗护网演练,选奇安信的“天擎 + 天眼”组合最稳妥;如果你是几百人的民营企业,没有专职安全攻防人员,主要想管好防火墙边界、员工上网行为和远程办公拨号,选深信服更顺手;如果单位本身深度使用中国移动云资源池且侧重传统合规审计硬件,可以同步对比启明星辰的打包方案。",[12,269,271],{"id":270},"faq","FAQ",[49,273,275],{"id":274},"q-公司正在把-windows-电脑换成统信-uos-和麒麟系统天擎能直接管吗","Q: 公司正在把 Windows 电脑换成统信 UOS 和麒麟系统,天擎能直接管吗?",[16,277,278],{},"A: 完全可以,这正是天擎的强项。你不需要为国产电脑单独再搭一套后台,原有的天擎控制中心可以直接下发针对 Linux 内核及龙芯、飞腾、鲲鹏、海光等不同 CPU 架构的客户端安装包,杀毒、外设封禁、违规外联阻断和资产清点都能在同一张大表里统一管理。",[49,280,282],{"id":281},"q-只买天眼硬件设备次年不续费威胁情报包行不行","Q: 只买天眼硬件设备,次年不续费威胁情报包行不行?",[16,284,285],{},"A: 不建议这么干。天眼的核心价值有一半在于它背后的奇安信威胁情报中心实时同步的恶意 IP、钓鱼域名、木马哈希和漏洞利用特征。如果不续情报订阅,它就只能靠出厂时自带的旧规则做静态匹配,遇到今年新注册的黑客控制端域名或新变种木马很容易漏报。",[49,287,289],{"id":288},"q-为什么员工觉得装了天擎之后电脑权限卡得特别死","Q: 为什么员工觉得装了天擎之后电脑权限卡得特别死?",[16,291,292],{},"A: 天擎本身是一套面向强合规单位的政企级终端管控工具,很多甲方管理员为了确保不出内网泄密或违规外联事故,会在后台勾选“禁止挂载未授权 U 盘”“禁止安装非白名单软件”“未打齐高危补丁前禁止连入业务网”等硬性准入策略。这不是软件本身的 Bug,而是贵司安全部门下发的策略尺度问题,需要向内部安全管理员申请特定开发组或业务组的豁免策略。",[49,294,296],{"id":295},"q-我们是一家-150-人的互联网软件公司适合买奇安信-ngsoc-态势感知吗","Q: 我们是一家 150 人的互联网软件公司,适合买奇安信 NGSOC 态势感知吗?",[16,298,299],{},"A: 大概率不适合。NGSOC 加天眼全套落地的软硬件采购成本高;它产出的告警还需要至少 1 到 2 名懂渗透测试和流量分析的专职安全工程师每天盯盘研判。150 人的互联网公司如果业务都在阿里云或腾讯云上,直接买云厂商自带的云安全中心加云 WAF,运维负担和资金成本会轻得多。",[12,301,302],{"id":302},"评测方法说明",[16,304,305],{},"我们按照功能完整度、易用性、数据质量、性价比、客户支持五个维度进行评测打分,单项满分 10 分,加权计算总分。本文涉及的产品线功能、信创适配范围及商务询价模式均于 2026-11 对照奇安信官方网站及公开技术白皮书核实,实际项目采购价格请以奇安信官方或授权渠道商报价单为准。",[16,307,308,311],{},[19,309,310],{},"最后更新",":2026-11-02",{"title":313,"searchDepth":314,"depth":314,"links":315},"",2,[316,317,318,324,331,332,333,339],{"id":14,"depth":314,"text":14},{"id":28,"depth":314,"text":28},{"id":47,"depth":314,"text":47,"children":319},[320,322,323],{"id":51,"depth":321,"text":51},3,{"id":64,"depth":321,"text":64},{"id":73,"depth":321,"text":74},{"id":83,"depth":314,"text":83,"children":325},[326,327,328,329,330],{"id":86,"depth":321,"text":87},{"id":93,"depth":321,"text":94},{"id":100,"depth":321,"text":101},{"id":107,"depth":321,"text":108},{"id":114,"depth":321,"text":115},{"id":121,"depth":314,"text":121},{"id":185,"depth":314,"text":185},{"id":270,"depth":314,"text":271,"children":334},[335,336,337,338],{"id":274,"depth":321,"text":275},{"id":281,"depth":321,"text":282},{"id":288,"depth":321,"text":289},{"id":295,"depth":321,"text":296},{"id":302,"depth":314,"text":302},"security",[342,343,344,345],"官网无任何公开透明标价,高度依赖线下招投标与政企大客户销售体系,小单议价空间有限","平台组件多且重,NGSOC 与天眼全套落地往往需要独立机柜服务器与专职安全分析员看盘","天擎客户端在开启强管控策略(外设封禁、准入控制、实时补丁强制下发)时,对终端办公人员操作限制极严","不同时期并购或孵化的子产品线较多,部分独立模块间的后台交互风格尚未完全统一",null,"2026-11-02","奇安信 评测:官网不公开标准单价,按终端点数或项目规模向销售及渠道询价。天擎终端安全、NGSOC 态势感知与威胁情报在国内政企和护网行动中覆盖率极高,国产化信创适配完整;系统部署较重,不适合缺乏专职安全岗的中小微民企。",false,"md",{},true,"几百人以下、没有独立安全运维编制、只想要一套即开即用轻量 SaaS 工具的普通互联网或商贸公司","\u002Ftools\u002Fsecurity\u002Fqianxin",{"free":349,"startingPrice":313,"currency":356,"billingPeriod":357,"notes":358},"CNY","年","官网未公开标准报价,需联系销售或渠道商报价,2026-11 核对。天擎等终端产品按受控节点数(License)阶梯计费,态势感知、智慧防火墙及红蓝对抗服务按项目软硬件配置与人天报价。",[360,361,362,363,364],"天擎终端安全管理系统对统信 UOS、麒麟操作系统及龙芯、飞腾、鲲鹏等国产信创芯片适配极全","依托海量终端样本沉淀的威胁情报中心,对 APT 组织攻击链、境内活跃钓鱼域名与挖矿木马检出率高","天眼高级威胁检测与 NGSOC 态势感知在国家级与行业级实战攻防演练中几乎是防守方标配","产品目录极其庞大,覆盖终端、边界、数据安全、代码审计到驻场应急响应全套合规闭环以外的实战组件","在全国各省会及重点地市设有庞大的安全服务与应急响应团队,重保期间可派人现场7×24小时值守",8.3,{"features":367,"ease":368,"data":369,"price":370,"support":371},9.1,7.8,9,7.4,8.5,{"title":5,"description":348},"tools\u002Fsecurity\u002Fqianxin",[375,197,376,377,378],"网络安全","终端安全","态势感知","信创安全","https:\u002F\u002Fwww.qianxin.com","SUFWnZ4arUtTEXI61I7TkTDz6KJfQABQgREbO6KcHy8",[382,748,1120],{"id":383,"title":384,"author":6,"bestFor":385,"body":386,"category":340,"cons":715,"cover":346,"date":720,"description":721,"draft":349,"extension":350,"meta":722,"navigation":352,"notFor":723,"path":724,"pricing":725,"pros":730,"score":736,"scoreBreakdown":737,"seo":741,"stem":742,"tags":743,"toolName":584,"updated":720,"url":746,"vendor":584,"__hash__":747},"tools\u002Ftools\u002Fsecurity\u002F1password.md","1Password 评测","10 至 500 人的研发与跨国远程团队,以及拥有多台苹果、Windows 混用设备的个人用户",{"type":9,"value":387,"toc":690},[388,390,396,399,401,418,420,423,426,429,433,436,439,443,471,473,475,478,482,485,489,492,496,499,503,506,508,569,572,574,645,650,652,656,659,663,666,670,673,677,680,682,685],[12,389,14],{"id":14},[16,391,392,395],{},[19,393,394],{},"推荐,总分 8.8,个人起步价 $2.99\u002F月(年付),团队版 $19.95\u002F月起。"," 1Password 适合需要统一管理后台账号、API 令牌、SSH 密钥的中小研发团队与多设备个人用户。它在客户端交互、浏览器自动填充准确度以及开发者命令行工具上的完成度,目前排在同类商业密码管理器的前列。",[16,397,398],{},"短板是完全砍掉了免费版本,也不开放本地私有化部署。如果你只需要免费存几十个网站密码,或者所在单位要求数据绝对不出内网,直接选 Bitwarden 或 KeePassXC,不用在 1Password 上花钱。",[12,400,28],{"id":28},[30,402,403,406,409,412,415],{},[33,404,405],{},"定价核对:我们于 2026-11 查阅 1Password 官网个人与企业定价页,核实了 Individual、Families、Teams Starter Pack、Business 四档年付与月付价格。",[33,407,408],{},"安全白皮书:我们查阅了官方公开的《1Password Security Design》文档,核对 PBKDF2-HMAC-SHA256 密钥派生参数、34 位 Secret Key 机制与 AES-GCM-256 加密实现。",[33,410,411],{},"开发者文档:我们核对了 1Password Developer 文档中关于 SSH Agent、CLI 2.0 环境变量注入以及 SCIM 网桥配置的说明。",[33,413,414],{},"横向参照:我们同期比对了 Bitwarden 与 Keeper 的公开定价表及功能矩阵,测算 10 人与 50 人团队的年化开销。",[33,416,417],{},"边界说明:我们未对 1Password 云端服务器做渗透测试,以下结论基于官方技术文档与公开审计报告整理。",[12,419,47],{"id":47},[49,421,422],{"id":422},"双密钥加密与多保险库隔离",[16,424,425],{},"1Password 和传统密码管理器最大的底层差异是引入了 34 位字符的 Secret Key(安全密钥)。首次注册设备时,系统会在本地生成这串密钥并生成 Emergency Kit 急救包 PDF。解密云端数据时,必须同时具备你记住的主密码和设备上的 Secret Key,两者共同参与 65 万次以上的 PBKDF2 迭代运算。哪怕攻击者拿走了云端密文,或者通过钓鱼猜出了简单主密码,只要没有拿到你设备里的 Secret Key,依然算不出解密密钥。",[16,427,428],{},"在权限切分上,它采用 Vault(保险库)模型。一家 30 人的公司可以建“全员公共库”“财务税控库”“生产服务器库”。新员工入职拉进对应群组即可拿到共享账号,离职时管理员在后台一键冻结账号,该员工本地缓存的加密库会在下一次联网握手时立即销毁。",[49,430,432],{"id":431},"通行密钥passkeys与-watchtower-监测","通行密钥(Passkeys)与 Watchtower 监测",[16,434,435],{},"从 1Password 8 开始,客户端全面支持 WebAuthn 标准下的 Passkeys 通行密钥存储与跨系统同步。以往苹果 iCloud 钥匙串生成的通行密钥很难在 Windows 的 Chrome 浏览器里直接调用,而装了 1Password 浏览器插件后,你在 Mac 上注册的 GitHub、Google 通行密钥可以直接在 Windows 台式机和安卓手机上点击登录,跳过密码输入和短信验证码。",[16,437,438],{},"内置的 Watchtower 看板负责扫描存量凭证风险。它会把你的登录邮箱哈希处理后比对 Have I Been Pwned 泄露数据库,直接列出四类问题:已在暗网泄露的密码、多个网站重复使用的密码、强度过低的短密码、以及网站支持 TOTP 二步验证但尚未开启的条目。",[49,440,442],{"id":441},"开发者-cli-与-ssh-密钥托管","开发者 CLI 与 SSH 密钥托管",[16,444,445,446,450,451,454,455,458,459,462,463,466,467,470],{},"传统开发流程里,工程师习惯把 ",[447,448,449],"code",{},"~\u002F.ssh\u002Fid_rsa"," 私钥明文放在硬盘上,或把数据库连接串写在项目的 ",[447,452,453],{},".env"," 文件里。开启 1Password SSH Agent 后,所有私钥全部加密保存在保险库内,本地磁盘不留私钥文件。当你执行 ",[447,456,457],{},"git push"," 或 ",[447,460,461],{},"ssh"," 连接服务器时,系统会弹出 Touch ID 或 Windows Hello 窗口,按指纹才授权当前会话签名。配合 ",[447,464,465],{},"op run"," 命令行工具,配置文件里只需写 ",[447,468,469],{},"op:\u002F\u002FProd\u002FDatabase\u002Fpassword"," 引用路径,程序启动时由 CLI 动态注入内存,硬盘全程不落明文。",[12,472,83],{"id":83},[49,474,87],{"id":86},[16,476,477],{},"密码、通行密钥、TOTP 动态码、信用卡、软件许可证、SSH 私钥和环境变量注入全部塞进了同一套客户端,还带有过境隐藏数据的 Travel Mode。扣 0.9 分在于不支持完全断网的纯局域网自建服务器。",[49,479,481],{"id":480},"易用性9010","易用性:9.0\u002F10",[16,483,484],{},"Mac、Windows、iOS、Android 和主流浏览器插件的界面逻辑统一,网页表单识别和自动填充极少出错。扣分在于新换手机登录时必须输入 34 位 Secret Key,弄丢急救包且没有旧设备授权的个人用户会彻底锁死账号。",[49,486,488],{"id":487},"数据质量8910","数据质量:8.9\u002F10",[16,490,491],{},"Watchtower 对接的泄露库更新及时,对全球主流网站是否支持二步验证和通行密钥的识别列表维护得很准。扣分在于部分国内政企后台系统的双层登录框偶有识别错位。",[49,493,495],{"id":494},"性价比8110","性价比:8.1\u002F10",[16,497,498],{},"个人版年付折合每月 $2.99 不算贵,但和 Bitwarden 个人免费、付费版仅 $10\u002F年的价格相比没有价格优势。10 人以下微型团队买 Starter Pack 固定要掏 $19.95\u002F月,不如按人头计费灵活。",[49,500,502],{"id":501},"客户支持8610","客户支持:8.6\u002F10",[16,504,505],{},"官方论坛响应快,邮件工单通常在 12 至 24 小时内由技术支持人员直接回复。扣分在缺乏原生中文在线实时客服,国内报销开具增值税发票需要通过代理商渠道。",[12,507,121],{"id":121},[123,509,510,523],{},[126,511,512],{},[129,513,514,517,520],{},[132,515,516],{},"套餐",[132,518,519],{},"价格(年付折合)",[132,521,522],{},"说明",[142,524,525,536,547,558],{},[129,526,527,530,533],{},[147,528,529],{},"Individual",[147,531,532],{},"$2.99\u002F月",[147,534,535],{},"单人使用,不限设备数,含 1GB 文档存储与 Watchtower 告警",[129,537,538,541,544],{},[147,539,540],{},"Families",[147,542,543],{},"$4.99\u002F月",[147,545,546],{},"含 5 名家庭成员,支持共享保险库与成员账号恢复,超员按 $1\u002F人\u002F月加购",[129,548,549,552,555],{},[147,550,551],{},"Teams Starter Pack",[147,553,554],{},"$19.95\u002F月",[147,556,557],{},"最多 10 名团队成员一口价,提供基础共享权限控制",[129,559,560,563,566],{},[147,561,562],{},"Business",[147,564,565],{},"$7.99\u002F用户\u002F月",[147,567,568],{},"月付 $9.99\u002F用户;含细粒度 ACL 权限、活动审计日志、Okta 同步及免费家庭版福利",[16,570,571],{},"注意两个成本细节:首先,Teams Starter Pack 不管你是 3 个人还是 10 个人都收 $19.95\u002F月,一旦团队扩到第 11 个人,必须整体升级到 Business 档位,月账单会从约 $20 跳涨到 $87.89。其次,官网直接绑卡扣美元,个人用户若外币卡绑卡失败,通常可改走美区 App Store 内购或买官方礼品卡充值。",[12,573,185],{"id":185},[123,575,576,591],{},[126,577,578],{},[129,579,580,582,585,588],{},[132,581,194],{},[132,583,584],{},"1Password",[132,586,587],{},"Bitwarden",[132,589,590],{},"Keeper",[142,592,593,606,619,632],{},[129,594,595,597,600,603],{},[147,596,210],{},[147,598,599],{},"兼顾体验与研发工具链的商业密码库",[147,601,602],{},"开源且支持自托管的高性价比方案",[147,604,605],{},"侧重合规审计与特权访问的企业方案",[129,607,608,610,613,616],{},[147,609,224],{},[147,611,612],{},"个人 $2.99\u002F月,团队 $19.95\u002F月",[147,614,615],{},"个人免费(付费 $0.83\u002F月),团队 $4\u002F用户\u002F月",[147,617,618],{},"个人 $2.92\u002F月,团队 $3.75\u002F用户\u002F月",[129,620,621,623,626,629],{},[147,622,238],{},[147,624,625],{},"客户端交互顺滑、SSH 与 CLI 工具好用、双密钥安全",[147,627,628],{},"代码开源、支持 Docker 私有化部署、价格便宜",[147,630,631],{},"后台合规报告细、支持旋转特权凭证与远程会话记录",[129,633,634,636,639,642],{},[147,635,252],{},[147,637,638],{},"无免费版、不可私有化部署",[147,640,641],{},"界面较简陋、填充体验略逊于 1Password",[147,643,644],{},"泄露监测与聊天等子模块需额外加钱购买",[16,646,647,649],{},[19,648,266],{},":看重日常填充顺手程度、团队里有程序员需要管 SSH 密钥和 API Token,直接选 1Password;预算卡得紧、或者要求密码库必须装在自家内网服务器上,选 Bitwarden;如果是传统金融机构需要满足复杂的特权审计报表,再看 Keeper。",[12,651,271],{"id":270},[49,653,655],{"id":654},"q-弄丢了-34-位-secret-key-还能找回账号吗","Q: 弄丢了 34 位 Secret Key 还能找回账号吗?",[16,657,658],{},"A: 如果你是个人版用户,且所有登录过 1Password 的旧手机、旧电脑都已退出登录,同时弄丢了 Emergency Kit 急救包,那么包括 1Password 官方在内没有任何人能帮你找回数据,只能重置建新号。如果是家庭成员或企业版员工,管理员可以在后台发起恢复流程帮你重置。",[49,660,662],{"id":661},"q-5-个人的小工作室买哪个版本最划算","Q: 5 个人的小工作室买哪个版本最划算?",[16,664,665],{},"A: 如果 5 个人之间只是共享十几个公共社媒、电商后台账号,不需要审计日志和单点登录集成,直接买 $4.99\u002F月的 Families 家庭版就够用,一年能比买 Teams Starter Pack 省下约 180 美元。等团队扩到 8 人以上再迁到团队版。",[49,667,669],{"id":668},"q-在国内不挂代理能正常同步吗","Q: 在国内不挂代理能正常同步吗?",[16,671,672],{},"A: 2026 年我们在国内三大运营商网络下观察,1Password 的同步请求多数时候可以直连通过,但首次下载附件或晚高峰偶有 3 到 5 秒延迟。由于加密库在本地有完整离线副本,断网也不影响查询和复制已有密码。",[49,674,676],{"id":675},"q-14-天试用期结束不续费里面的密码会丢吗","Q: 14 天试用期结束不续费,里面的密码会丢吗?",[16,678,679],{},"A: 不会丢。订阅到期后账号会进入“只读冻结”状态:你依然可以打开客户端查看、复制所有存好的账号密码,也可以把数据完整导出为 CSV 或 1PUX 格式迁移走,只是不能再新增或修改条目。",[12,681,302],{"id":302},[16,683,684],{},"1Password 的总分由功能完整度、易用性、数据质量、性价比、客户支持五项指标加权得出,单项满分为 10 分。文中的订阅单价与加密机制细节已于 2026-11 对照 1Password 官网核实,下单时请以官方实时页面为准。",[16,686,687,689],{},[19,688,310],{},":2026-09-26",{"title":313,"searchDepth":314,"depth":314,"links":691},[692,693,694,699,706,707,708,714],{"id":14,"depth":314,"text":14},{"id":28,"depth":314,"text":28},{"id":47,"depth":314,"text":47,"children":695},[696,697,698],{"id":422,"depth":321,"text":422},{"id":431,"depth":321,"text":432},{"id":441,"depth":321,"text":442},{"id":83,"depth":314,"text":83,"children":700},[701,702,703,704,705],{"id":86,"depth":321,"text":87},{"id":480,"depth":321,"text":481},{"id":487,"depth":321,"text":488},{"id":494,"depth":321,"text":495},{"id":501,"depth":321,"text":502},{"id":121,"depth":314,"text":121},{"id":185,"depth":314,"text":185},{"id":270,"depth":314,"text":271,"children":709},[710,711,712,713],{"id":654,"depth":321,"text":655},{"id":661,"depth":321,"text":662},{"id":668,"depth":321,"text":669},{"id":675,"depth":321,"text":676},{"id":302,"depth":314,"text":302},[716,717,718,719],"不设永久免费档位,14 天试用期结束后只能查看既有条目,无法新增或修改","Teams Starter Pack 按 $19.95\u002F月固定打包 10 人计费,3 至 5 人微团队人均单价偏高","不支持完全离线的本地局域网自建同步服务,所有加密数据强制托管在官方云节点","中国大陆网络直连 1password.com 偶有同步延迟,且个人版支付需使用外币信用卡或礼品卡","2026-09-26","1Password 评测:个人年付 $2.99\u002F月起,双密钥加密机制与通行密钥支持扎实,适合重视跨设备凭证安全和员工权限回收的中小技术团队;不提供永久免费版,国内网络同步偶有延迟。",{},"坚持零预算使用免费开源方案的个人,或要求密码库 100% 物理隔离内网部署的涉密单位","\u002Ftools\u002Fsecurity\u002F1password",{"free":349,"startingPrice":726,"currency":727,"billingPeriod":728,"notes":729},"2.99","USD","月","Individual 年付 $2.99\u002F月,Families 年付 $4.99\u002F月(含 5 人),Teams Starter Pack $19.95\u002F月(固定含 10 人),Business 年付 $7.99\u002F用户\u002F月。价格于 2026-11 核对官网定价页,均提供 14 天免费试用。",[731,732,733,734,735],"主密码加 34 位 Secret Key 双因素派生密钥,即便云端数据泄露也无法离线暴力破解","支持 SSH 密钥托管与 CLI 命令行注入,开发者可免明文配置本地环境变量","Watchtower 实时比对 Have I Been Pwned 泄露库,自动标记弱口令、重复口令与未开启二步验证的账户","Travel Mode 可在过境检查前临时隐藏敏感保险库,联网恢复后才重新同步到本地","Business 套餐赠送每位员工 1 个免费的 Families 家庭版名额,提升员工日常使用意愿",8.8,{"features":367,"ease":369,"data":738,"price":739,"support":740},8.9,8.1,8.6,{"title":384,"description":721},"tools\u002Fsecurity\u002F1password",[375,744,584,745],"密码管理器","身份凭证保护","https:\u002F\u002F1password.com","Igb3ulX4RC8_HnrCAzLo6MdaznS4Hyp-DIdVnPxeN-M",{"id":749,"title":750,"author":6,"bestFor":751,"body":752,"category":340,"cons":1090,"cover":346,"date":1095,"description":1096,"draft":349,"extension":350,"meta":1097,"navigation":352,"notFor":1098,"path":1099,"pricing":1100,"pros":1103,"score":740,"scoreBreakdown":1109,"seo":1111,"stem":1112,"tags":1113,"toolName":947,"updated":1095,"url":1117,"vendor":1118,"__hash__":1119},"tools\u002Ftools\u002Fsecurity\u002Faliyun-waf.md","阿里云WAF 评测","主站服务器、负载均衡与数据库本身就部署在阿里云上,需要过等保测评或防御日常 SQL 注入、CC 攻击与爬虫的国内业务团队",{"type":9,"value":753,"toc":1065},[754,756,762,765,767,781,783,787,790,793,797,804,811,815,818,821,823,827,830,834,837,839,842,846,849,851,854,856,917,935,937,1008,1013,1015,1019,1022,1026,1029,1033,1048,1052,1055,1057,1060],[12,755,14],{"id":14},[16,757,758,761],{},[19,759,760],{},"推荐给源站在阿里云上的国内生产业务,总分 8.6,包年包月基础版 980 元\u002F月起,低流量站点可选按量付费。"," 阿里云 Web 应用防火墙(简称阿里云WAF)最大的优势在于和自家云底座的丝滑咬合:只要你的业务挂在阿里云 ALB 或 CLB 负载均衡后面,点几下鼠标就能把流量引过清洗引擎,连 DNS 解析都不用动;而且每逢高危 Web 漏洞爆发,它的云端虚拟补丁跟进速度极快。",[16,763,764],{},"短板是套餐刀法很细:980 元\u002F月的基础版只管最常规的 SQL 注入、XSS 和基础 CC 拦截;一旦你的 App 接口被黑产写脚本刷短信验证码、薅优惠券,想开 Bot 机器流量管理就得跳到 3,880 元\u002F月的高级版并额外付模块费。源站不在阿里云的出海站点,用 Cloudflare 会划算得多。",[12,766,28],{"id":28},[30,768,769,772,775,778],{},[33,770,771],{},"定价核对:我们于 2026-11 查阅阿里云官网 Web 应用防火墙 WAF 3.0 产品定价页与价格计算器,核实了基础版(980 元\u002F月)、高级版(3,880 元\u002F月)、企业版(11,300 元\u002F月)的规格配额,以及按量付费模式下 SeCU(安全能力单元)的折算规则。",[33,773,774],{},"官方技术文档:我们查阅了阿里云帮助中心关于《WAF 3.0 云产品原生接入指南》《Bot 管理防爬虫配置手册》以及《SLS 全量日志字段说明》。",[33,776,777],{},"横向参照:我们同期比对了腾讯云 WAF、长亭雷池(SafeLine)以及 Cloudflare Pro\u002FBusiness 的公开报价与防护边界。",[33,779,780],{},"边界说明:我们未用分布式真实肉鸡网络对阿里云WAF 发起百万级 QPS 的极限 CC 压测,本文结论基于官方公开 SLA 文档与运维工程师的公开配置实践。",[12,782,47],{"id":47},[49,784,786],{"id":785},"免改-dns-的云产品原生引流与透明代理","免改 DNS 的云产品原生引流与透明代理",[16,788,789],{},"以前给网站套一层云 WAF,最让运维提心吊胆的操作就是去域名服务商后台把 A 记录改成 WAF 给的 CNAME 地址。一方面全球各地的本地 DNS 缓存生效慢,切换期间容易出现部分用户访问中断;另一方面一旦配错了 SSL 证书或回源端口,线上业务当场就会报 502 错误。",[16,791,792],{},"阿里云WAF 3.0 针对自家云上客户做了一套“云产品接入”模式。如果你的网站本来就挂在阿里云的应用型负载均衡(ALB)、传统型负载均衡(CLB)、微服务引擎(MSE)或者 API 网关后面,你根本不需要动任何一行 DNS 解析记录。直接在 WAF 控制台勾选对应的负载均衡实例和监听端口,阿里云底层虚拟网络就会把进站 HTTP\u002FHTTPS 流量自动旁路引流到 WAF 集群清洗后再送回源站。万一遇到业务故障需要紧急排查是不是 WAF 误拦,点一下“旁路卸载”就能秒级切回直连,对线上业务非侵入。",[49,794,796],{"id":795},"owasp-漏洞虚拟补丁与语义分析引擎","OWASP 漏洞虚拟补丁与语义分析引擎",[16,798,799,800,803],{},"企业买 WAF 的底线需求是防住 SQL 注入、跨站脚本(XSS)、命令执行、文件包含和 Webshell 上传。传统正则规则库最大的毛病是死板:要么稍微改个大小写绕过就漏报,要么把技术论坛里用户正常发帖写的 ",[447,801,802],{},"select * from"," 代码片段当成黑客攻击给误杀成 405 拦截页。",[16,805,806,807,810],{},"阿里云WAF 同时跑了正则特征库、主动防御重保规则组以及智能语义分析引擎。它的一个核心实用价值在于",[19,808,809],{},"高危 0day 漏洞的虚拟补丁响应速度","。当开源社区突然爆出类似 Fastjson 反序列化、Log4j2 远程代码执行或某个流行 OA 系统的未授权上传漏洞时,企业自己的研发团队往往没法在半天内把所有老旧项目重新编译打包发版。此时阿里云安全团队通常会在几小时内把针对该漏洞利用链的拦截规则推送到云端规则组,运维只需在后台把规则模式切到“拦截”,就能先在网关层把攻击数据包挡在门外,给后端程序员争取修代码的缓冲期。",[49,812,814],{"id":813},"bot-机器流量管理与-api-敏感数据盘点","Bot 机器流量管理与 API 敏感数据盘点",[16,816,817],{},"对于电商、票务、航空和带有登录发短信接口的移动 App 来说,现在最头疼的往往不是删库黑客,而是拿自动化脚本刷接口的羊毛党、比价爬虫和撞库工具。",[16,819,820],{},"在高级版及以上档位加购 Bot 管理模块后,阿里云WAF 可以通过网页端嵌入混淆 JS 探针、移动端集成 App 安全 SDK 来收集客户端设备指纹(如陀螺仪状态、Canvas 渲染特征、是否运行在模拟器或改机框架下)。哪怕黑产每秒切换一个真实的家庭宽带秒拨代理 IP,只要请求头里没有携带合法的 SDK 动态签名或设备指纹命中黑产工具箱特征,WAF 就会直接下发滑块验证码(Captcha)或者干脆返回假数据静默丢弃。同时,内置的 API 安全模块会自动梳理你域名下到底暴露了多少个活跃接口,标记出哪些接口在返回报文里明文吐出了身份证号、手机号或银行卡号,方便安全合规团队整改。",[12,822,83],{"id":83},[49,824,826],{"id":825},"功能完整度9010","功能完整度:9.0\u002F10",[16,828,829],{},"Web 基础漏洞防护、0day 虚拟补丁、频率控制(CC 防护)、防篡改、自定义黑白名单、Bot 反爬与 API 资产盘点一应俱全,还支持混合云反向代理接入本地机房。扣 1.0 分在于基础版阉割较多,大量进阶能力需要升档或单独买扩展包。",[49,831,833],{"id":832},"易用性8810","易用性:8.8\u002F10",[16,835,836],{},"同在阿里云账号下的负载均衡与域名可以实现几分钟内一键挂载,SSL 证书也能直接从阿里云数字证书中心自动拉取续期。扣分在于按量付费模式下的 SeCU(安全能力单元)换算公式非常绕,新手很难一眼算清开某个开关一天到底要扣几块钱。",[49,838,488],{"id":487},[16,840,841],{},"背靠阿里云与淘宝天猫多年的实战黑产对抗库,对境内常见的扫描器指纹、秒拨代理 IP 池、恶意爬虫特征的识别准确度很高,常规业务下的误报率控制得不错。扣分在海外冷门地区的威胁情报覆盖不如全球化 CDN 厂商广。",[49,843,845],{"id":844},"性价比7710","性价比:7.7\u002F10",[16,847,848],{},"按量付费模式对日均请求量几万次的小微站点很友好,一个月花不了百十来块钱。但一旦业务量上来转成包年包月,980 元\u002F月的基础版只有 2,000 QPS,升到高级版直接跳到 3,880 元\u002F月,再叠加上日志服务 SLS 的存储费,整体账单不算便宜。",[49,850,115],{"id":114},[16,852,853],{},"阿里云工单系统响应较快,文档中心对每一个拦截错误码(如 405 拦截页的 Trace ID 排查步骤)写得清清楚楚。扣分在于免费工单遇到极其复杂的业务误报调优时往返沟通慢,想要安全专家一对一写定制防爬规则得买企业版或护航服务。",[12,855,121],{"id":121},[123,857,858,871],{},[126,859,860],{},[129,861,862,865,868],{},[132,863,864],{},"套餐档位",[132,866,867],{},"价格(包年包月参考)",[132,869,870],{},"核心配额与能力说明",[142,872,873,884,895,906],{},[129,874,875,878,881],{},[147,876,877],{},"按量付费 (WAF 3.0)",[147,879,880],{},"按实际消耗 SeCU 结算",[147,882,883],{},"零月租门槛,按每天接入域名数、开启的功能模块数及处理的 QPS\u002F请求量动态折算扣费",[129,885,886,889,892],{},[147,887,888],{},"基础版",[147,890,891],{},"980 元\u002F月起",[147,893,894],{},"含 2,000 QPS 业务峰值、3 个主域名(30 个子域名);提供 OWASP 基础漏洞防护与基础 CC 拦截",[129,896,897,900,903],{},[147,898,899],{},"高级版",[147,901,902],{},"3,880 元\u002F月起",[147,904,905],{},"含 5,000 QPS 业务峰值、5 个主域名;开放高级自定义规则、支持加购 Bot 管理与 API 安全模块",[129,907,908,911,914],{},[147,909,910],{},"企业版",[147,912,913],{},"11,300 元\u002F月起",[147,915,916],{},"含 10,000 QPS 峰值、10 个主域名;面向大型政企与高并发核心业务,支持更大规模弹性扩缩",[16,918,919,920,923,924,927,928,931,934],{},"我们于 2026-11 核对阿里云官网价格计算器,买之前务必把这三笔附加账单算清楚:第一,",[19,921,922],{},"QPS 扩容与突发超量费",":基础版只包 2,000 QPS,如果你的网站做促销秒杀瞬间冲到 5,000 QPS,要么提前花钱买扩展 QPS 包,要么开启“弹性后付费”按超出的峰值额外扣钱,不买又不开弹性就会触发限流丢包。第二,",[19,925,926],{},"Bot 与 API 扩展包是另算的",":哪怕你已经付了 3,880 元\u002F月买高级版,防爬虫 Bot 管理和 App 防护依然属于增值模块,勾选启用后要额外按月或按 SeCU 加收费用。第三,",[19,929,930],{},"SLS 全量日志费",[932,933],"waf",{}," 控制台自带的免费报表只留存近期概览,如果要开启全量请求日志分析(过等保要求留存 6 个月以上日志),这笔钱是阿里云日志服务(SLS)按磁盘容量和索引流量每天从你账户余额里单扣的。",[12,936,185],{"id":185},[123,938,939,954],{},[126,940,941],{},[129,942,943,945,948,951],{},[132,944,194],{},[132,946,947],{},"阿里云WAF",[132,949,950],{},"Cloudflare (Pro\u002FBusiness)",[132,952,953],{},"长亭雷池 (SafeLine 企业版)",[142,955,956,969,982,995],{},[129,957,958,960,963,966],{},[147,959,210],{},[147,961,962],{},"深度集成阿里云底座的云原生 Web 防火墙",[147,964,965],{},"全球泛播 CDN 与边缘安全一体平台",[147,967,968],{},"基于智能语义分析的私有化\u002F容器化 WAF",[129,970,971,973,976,979],{},[147,972,224],{},[147,974,975],{},"按量付费 \u002F 包年包月 980 元\u002F月起",[147,977,978],{},"Free 免费 \u002F Pro $20\u002F月 \u002F Business $200\u002F月",[147,980,981],{},"社区版免费 \u002F 商业版按节点数万元\u002F年起",[129,983,984,986,989,992],{},[147,985,238],{},[147,987,988],{},"阿里云 ALB\u002FCLB 免改 DNS 一键接入、国内等保合规省心",[147,990,991],{},"全球边缘节点极多、不按 QPS 卡脖子、价格极便宜",[147,993,994],{},"智能语义引擎误报极低、支持本地内网与纯私有部署",[129,996,997,999,1002,1005],{},[147,998,252],{},[147,1000,1001],{},"高阶模块与 QPS 加购贵、海外边缘节点不及 CF",[147,1003,1004],{},"免费与低阶版国内直连延迟高、国内等保认可度不如本土云",[147,1006,1007],{},"需自己维护宿主机资源、无公有云超大带宽清洗池",[16,1009,1010,1012],{},[19,1011,266],{},":只要你的 ECS 服务器、RDS 数据库和负载均衡本来就全放在阿里云国内地域,且公司需要快速通过国内等保测评,别折腾跨云转发,直接开阿里云WAF 最稳;如果你做的是跨境电商独立站、AI 出海工具,用户全在欧美日韩,直接上 Cloudflare 的 $20\u002F月 Pro 或 $200\u002F月 Business 套餐;如果是金融机构、高校或内部政企系统,合规要求所有流量绝对不能绕到公有云第三方节点解密,选长亭雷池部署在自家机房或 Kubernetes 集群里。",[12,1014,271],{"id":270},[49,1016,1018],{"id":1017},"q-我的网站每天只有几千次访问买-980-元月的基础版太贵了怎么办","Q: 我的网站每天只有几千次访问,买 980 元\u002F月的基础版太贵了怎么办?",[16,1020,1021],{},"A: 千万别直接买包年包月基础版。在阿里云WAF 3.0 开通页面直接选**“按量付费”**模式(新用户通常还能领一个小额免费试用资源包)。对于只有 1 个域名、只开基础漏洞防护、日均几千到几万 PV 的小型官网或后台接口,按实际消耗的 SeCU 算下来,一天往往只扣 1 到 3 块钱,一个月花几十块钱就能搞定,而且同样能满足等保测评里“部署 Web 应用防火墙”的合规要求。",[49,1023,1025],{"id":1024},"q-阿里云服务器已经开了免费的安全组和云安全中心基础版还需要买-waf-吗","Q: 阿里云服务器已经开了免费的“安全组”和“云安全中心基础版”,还需要买 WAF 吗?",[16,1027,1028],{},"A: 管的事情完全不在一层。ECS 安全组只管传输层的 IP 和端口开关(比如只开放 80 和 443 端口,封掉 22 端口),但黑客发起的 SQL 注入、XSS 跨站脚本和网页挂马全都是走正常的 443 端口 HTTPS 协议进来的,安全组根本不拆开 HTTP 数据包看内容,完全拦不住。只要你有对外公开的网站、小程序接口或 OA 登录页,安全组替代不了 WAF。",[49,1030,1032],{"id":1031},"q-接了阿里云waf-之后后端-nginx-日志里看到的访客-ip-全变成了阿里云内网或回源段-ip怎么拿真实用户-ip","Q: 接了阿里云WAF 之后,后端 Nginx 日志里看到的访客 IP 全变成了阿里云内网或回源段 IP,怎么拿真实用户 IP?",[16,1034,1035,1036,1039,1040,1043,1044,1047],{},"A: 这是反向代理架构的标准现象。因为流量先到了 WAF 节点再由 WAF 替用户去请求你的源站,所以 TCP 连接层的源 IP 自然变成了 WAF 的回源 IP。解决方法很简单:阿里云WAF 默认会把真实访客的公网 IP 塞进 HTTP 请求头的 ",[447,1037,1038],{},"X-Forwarded-For"," 字段第一个位置;你只需要在源站 Nginx 配置文件里加上 ",[447,1041,1042],{},"set_real_ip_from \u003CWAF回源网段>"," 和 ",[447,1045,1046],{},"real_ip_header X-Forwarded-For",",后端业务代码和访问日志就能重新拿到真实客户端 IP 了。",[49,1049,1051],{"id":1050},"q-源站服务器在腾讯云或者自建机房能用阿里云waf-吗","Q: 源站服务器在腾讯云或者自建机房,能用阿里云WAF 吗?",[16,1053,1054],{},"A: 能用,走传统的“CNAME 接入”模式即可:把你的域名解析指向阿里云WAF 分配的 CNAME 地址,清洗完后再通过公网回源到你的腾讯云或自建机房 IP。但客观讲,如果源站全在腾讯云,直接用腾讯云自家的 WAF 可以走内网回源免公网流量费且少一次跨网跳数;跨云用阿里云WAF 不仅无法享受 ALB 免改 DNS 原生挂载的便利,还会多出一截跨运营商回源的网络延迟。",[12,1056,302],{"id":302},[16,1058,1059],{},"我们按照功能完整度、易用性、数据质量、性价比、客户支持五个维度进行评测,单项满分 10 分,加权计算总分。文中的套餐月费、QPS 配额及 SeCU 计费规则均在 2026-11 对照阿里云官方网站公开价格表核实,实际折扣与活动价请以阿里云控制台结算页为准。",[16,1061,1062,1064],{},[19,1063,310],{},":2026-09-29",{"title":313,"searchDepth":314,"depth":314,"links":1066},[1067,1068,1069,1074,1081,1082,1083,1089],{"id":14,"depth":314,"text":14},{"id":28,"depth":314,"text":28},{"id":47,"depth":314,"text":47,"children":1070},[1071,1072,1073],{"id":785,"depth":321,"text":786},{"id":795,"depth":321,"text":796},{"id":813,"depth":321,"text":814},{"id":83,"depth":314,"text":83,"children":1075},[1076,1077,1078,1079,1080],{"id":825,"depth":321,"text":826},{"id":832,"depth":321,"text":833},{"id":487,"depth":321,"text":488},{"id":844,"depth":321,"text":845},{"id":114,"depth":321,"text":115},{"id":121,"depth":314,"text":121},{"id":185,"depth":314,"text":185},{"id":270,"depth":314,"text":271,"children":1084},[1085,1086,1087,1088],{"id":1017,"depth":321,"text":1018},{"id":1024,"depth":321,"text":1025},{"id":1031,"depth":321,"text":1032},{"id":1050,"depth":321,"text":1051},{"id":302,"depth":314,"text":302},[1091,1092,1093,1094],"包年包月基础版 980 元\u002F月仅含 2,000 QPS 峰值与 3 个主域名额度,且阉割了 Bot 防护与 API 安全模块","要想用上防爬虫、App SDK 加固、自定义高阶 CC 防护或敏感数据防泄漏,必须上 3,880 元\u002F月的高级版或单独加购","如果开启全量访问日志投递到 SLS 日志服务,高并发站点每个月产生的日志存储与索引账单甚至会逼近 WAF 本身费用","针对欧美及东南亚海外访客的边缘清洗节点数量与免备案接入灵活度,不如 Cloudflare","2026-09-29","阿里云WAF 评测:包年包月基础版 980 元\u002F月起,高级版 3,880 元\u002F月起,亦支持按量付费。与 ALB、CLB、CDN 一键引流免改 DNS,0day 虚拟补丁下发极快,适合主业务跑在阿里云上的团队;非阿里云源站或多云架构额外加购 QPS 与混合云节点后成本偏高。",{},"月总预算不到 200 元的个人站长,或源站全在海外 AWS、面向全球访客且追求大带宽免费抗 DDoS 的出海独立站","\u002Ftools\u002Fsecurity\u002Faliyun-waf",{"free":349,"startingPrice":1101,"currency":356,"billingPeriod":728,"notes":1102},"980","支持按量付费与包年包月两种模式:包年包月基础版 980 元\u002F月起,高级版 3,880 元\u002F月起,企业版 11,300 元\u002F月起;按量付费按请求处理量 SeCU 与功能模块计费(提供小额免费试用额度)。价格于 2026-11 核对阿里云官网。",[1104,1105,1106,1107,1108],"阿里云上的 ALB、MSE、CLB、函数计算可一键勾选云产品原生接入,无需手动修改域名 CNAME 解析","爆发诸如 Log4j2、Spring4Shell、Struts2 等高危 0day 漏洞时,云端虚拟补丁规则通常在数小时内全网自动同步","结合阿里电商大促攻防经验的 Bot 管理模块,对黄牛抢购脚本、撞库工具与恶意爬虫识别较准","WAF 3.0 支持按量付费(按 SeCU 安全能力单元结算),低频访问的小程序或测试接口每月只需几十元","与阿里云日志服务 SLS 打通,可保存全量 HTTP 请求与拦截头信息,直接跑 SQL 做攻击溯源报表",{"features":369,"ease":736,"data":738,"price":1110,"support":371},7.7,{"title":750,"description":1096},"tools\u002Fsecurity\u002Faliyun-waf",[375,1114,947,1115,1116],"Web应用防火墙","防爬虫","API安全","https:\u002F\u002Fwww.aliyun.com\u002Fproduct\u002Fwaf","阿里云","RIBq0KvqrIK8YIPFSvfjJQgCL4x3ZVrYh3mAnctdLAw",{"id":1121,"title":1122,"author":6,"bestFor":1123,"body":1124,"category":340,"cons":1442,"cover":346,"date":1447,"description":1448,"draft":349,"extension":350,"meta":1449,"navigation":352,"notFor":1450,"path":1451,"pricing":1452,"pros":1455,"score":371,"scoreBreakdown":1461,"seo":1465,"stem":1466,"tags":1467,"toolName":1303,"updated":1447,"url":1471,"vendor":1303,"__hash__":1472},"tools\u002Ftools\u002Fsecurity\u002Fokta.md","Okta 评测","100 人以上、采购了 10 款以上海外 SaaS 工具、需要严格执行入转调离权限自动化的跨国或出海企业",{"type":9,"value":1125,"toc":1417},[1126,1128,1134,1137,1139,1153,1155,1159,1162,1165,1169,1172,1175,1179,1182,1185,1187,1191,1194,1198,1201,1205,1208,1210,1213,1215,1218,1220,1280,1291,1293,1364,1369,1371,1375,1378,1382,1385,1389,1392,1396,1407,1409,1412],[12,1127,14],{"id":14},[16,1129,1130,1133],{},[19,1131,1132],{},"推荐给中大型出海及跨国团队,总分 8.5,单模块起步价 $2\u002F用户\u002F月,但有 $1,500\u002F年的最低合同门槛。"," Okta 是全球企业级身份与访问管理(IAM)领域的标杆产品,核心价值在于把公司里几十个分散的 SaaS 软件账号收拢到一套中心目录里,实现员工入职自动开号、离职一键断权。",[16,1135,1136],{},"它的缺点同样扎眼:价格拆得非常零碎,真正在生产环境跑起来往往要配齐 SSO、MFA 和生命周期管理三个模块,人均月成本很快突破 $10;而且它对国内本土办公软件的适配度远不如竹云、宁盾或飞书自带的 SSO。",[12,1138,28],{"id":28},[30,1140,1141,1144,1147,1150],{},[33,1142,1143],{},"定价核对:我们于 2026-11 查阅 Okta 官网 Workforce Identity Cloud 定价页,核实了 Single Sign-On、Multi-Factor Authentication、Lifecycle Management、Workflows 各拆售模块的美元单价与 $1,500 年度最低合同条款。",[33,1145,1146],{},"技术文档:我们查阅了 Okta 官方帮助文档中关于 Okta Integration Network(OIN)连接器目录、Universal Directory 属性映射以及 Okta FastPass 无密码认证的配置手册。",[33,1148,1149],{},"架构参考:我们对照了 Microsoft Entra ID 与国内 Authing 的公开报价与功能表,测算 200 人规模企业的三年拥有成本。",[33,1151,1152],{},"边界说明:我们未在千人规模生产域控下做压测,本文结论基于官方公开文档与企业管理员社区的公开反馈。",[12,1154,47],{"id":47},[49,1156,1158],{"id":1157},"_7000-预置连接器与单点登录sso","7,000+ 预置连接器与单点登录(SSO)",[16,1160,1161],{},"企业买 Okta 的第一诉求通常是解决“员工入职要记 20 个后台密码”的乱象。Okta 的底气来自它的 Okta Integration Network(OIN)应用商店,里面已经预置了超过 7,000 个云端应用和本地系统的连接模板,涵盖 Salesforce、Jira、Slack、GitHub、AWS、Figma、Zoom 等常见海外软件。",[16,1163,1164],{},"对于管理员来说,接一个已在 OIN 目录里的应用不需要写代码:在后台搜出软件名,把自动生成的 SAML 2.0 证书或 OIDC 客户端凭证填进目标软件后台,再勾选允许访问的部门群组,15 分钟就能上线。员工每天早上打开电脑登录一次 Okta 门户,点击图标就能直接进各个业务系统,不再接触子系统的明文密码。",[49,1166,1168],{"id":1167},"自适应多因素认证adaptive-mfa与-fastpass","自适应多因素认证(Adaptive MFA)与 FastPass",[16,1170,1171],{},"光有单点登录还不够,如果主账号被钓鱼网站骗走,攻击者等于拿到了全公司所有系统的钥匙。Okta 的 MFA 模块支持推送通知、FIDO2 硬件密钥(如 YubiKey)、WebAuthn 生物识别、TOTP 动态口令等多种验证因子。",[16,1173,1174],{},"如果买到 $6\u002F用户\u002F月的 Adaptive MFA 档位,系统会在每次登录时评估上下文风险信号:包括员工当前 IP 所在的国家城市、是不是首次出现的陌生设备、是否挂了匿名代理 IP、甚至两次登录的地理位置移动速度是否超过了飞机航速(不可能旅行检测)。正常在公司办公室 Wi-Fi 下用受管 MacBook 登录,直接通过 Okta FastPass 按一下 Touch ID 免密放行;一旦检测到凌晨三点有陌生的东欧 IP 尝试登录,策略会自动拦截或强制要求插入硬件安全密钥。",[49,1176,1178],{"id":1177},"账号生命周期自动化lcm与-workflows","账号生命周期自动化(LCM)与 Workflows",[16,1180,1181],{},"对于超过 200 人的公司,IT 部门最怕员工离职时漏关某个边缘系统的权限。Okta 的 Lifecycle Management(LCM)通过 SCIM 协议把人事系统(如 Workday、BambooHR)当成唯一真实信源。",[16,1183,1184],{},"当 HR 在人事系统里把新员工状态改为“在职”并填入部门字段,Okta 会自动在 Universal Directory 里建好主账号,同时去 Gmail 开邮箱、去 Salesforce 分发销售席位、把人拉进对应的 Slack 频道。当员工离职当天下午 5 点 HR 点击离职生效,Okta 会在几秒钟内自动吊销他在所有关联 SaaS 里的会话令牌,并把网盘文件所有权转移给直属主管。遇到复杂逻辑还可以用内置的 Workflows 拖拽卡片画出定时自动化流程。",[12,1186,83],{"id":83},[49,1188,1190],{"id":1189},"功能完整度9310","功能完整度:9.3\u002F10",[16,1192,1193],{},"从统一目录、SAML\u002FOIDC 单点登录、上下文风险感知、SCIM 自动开销户到特权访问管理,企业身份治理该有的零件它全都齐备。扣 0.7 分在于国内本土应用的连接模板偏少。",[49,1195,1197],{"id":1196},"易用性8210","易用性:8.2\u002F10",[16,1199,1200],{},"终端员工的使用体验很好,配好 FastPass 后几乎无感登录。但管理员后台的策略树、属性表达式语法和权限继承关系相当繁琐,没有专职 IT 运维的团队上手会觉得满屏都是英文术语。",[49,1202,1204],{"id":1203},"数据质量8710","数据质量:8.7\u002F10",[16,1206,1207],{},"System Log 审计日志记录了每一次登录请求、设备指纹、地理位置与策略命中结果,支持通过 Event Hooks 实时推给 Splunk 或 Datadog。扣分在默认日志留存周期有限,长周期合规归档需额外付费。",[49,1209,108],{"id":107},[16,1211,1212],{},"表面上看 SSO 只要 $2\u002F人\u002F月,但只买这一个模块基本是个半成品。配齐生产环境必备的 Adaptive MFA($6)和 Lifecycle Management($4)后,每人每月高达 $12,再加上 $1,500 的年消费底线,整体开销不低。",[49,1214,502],{"id":501},[16,1216,1217],{},"文档库和管理员认证培训体系成熟,报错代码基本都能在官方知识库里搜到明确排查步骤。扣分在于基础订阅档位的工单响应时间一般,7×24 小时电话支持需要额外购买服务包。",[12,1219,121],{"id":121},[123,1221,1222,1234],{},[126,1223,1224],{},[129,1225,1226,1229,1232],{},[132,1227,1228],{},"模块名称",[132,1230,1231],{},"价格(年付按月计)",[132,1233,522],{},[142,1235,1236,1247,1258,1269],{},[129,1237,1238,1241,1244],{},[147,1239,1240],{},"Single Sign-On (SSO)",[147,1242,1243],{},"$2\u002F用户\u002F月",[147,1245,1246],{},"基础 SAML\u002FOIDC 单点登录与目录策略;Adaptive 版为 $5\u002F用户\u002F月",[129,1248,1249,1252,1255],{},[147,1250,1251],{},"Multi-Factor Authentication",[147,1253,1254],{},"$3\u002F用户\u002F月",[147,1256,1257],{},"支持 Okta Verify、FIDO2 等验证;带风险感知的 Adaptive MFA 为 $6\u002F用户\u002F月",[129,1259,1260,1263,1266],{},[147,1261,1262],{},"Lifecycle Management (LCM)",[147,1264,1265],{},"$4\u002F用户\u002F月",[147,1267,1268],{},"基于 SCIM 协议自动同步 HR 数据、自动开通与回收下游应用账号",[129,1270,1271,1274,1277],{},[147,1272,1273],{},"Workflows",[147,1275,1276],{},"$4\u002F用户\u002F月起",[147,1278,1279],{},"免费赠送 5 条自动化流,超出后按用户数或流程包阶梯计费",[16,1281,1282,1283,1286,1287,1290],{},"算账时有三个隐藏门槛必须看清:第一,Okta 强制执行 ",[19,1284,1285],{},"$1,500\u002F年"," 的最低合同金额,哪怕你只有 20 个员工、只选了 $2 SSO + $3 MFA(理论上一年 $1,200),账单也得按 $1,500 付。第二,上述模块是叠加收费的,标准中型企业常选的“SSO($2) + Adaptive MFA($6) + LCM($4)”组合,实际单价是 ",[19,1288,1289],{},"$12\u002F用户\u002F月",",一年 200 人就是 28,800 美元。第三,如果是拿 Okta 给自研产品的外部注册用户做登录(即 Auth0 线),那套按月活用户(MAU)计费的价格表和内部员工版完全不同。",[12,1292,185],{"id":185},[123,1294,1295,1310],{},[126,1296,1297],{},[129,1298,1299,1301,1304,1307],{},[132,1300,194],{},[132,1302,1303],{},"Okta",[132,1305,1306],{},"Microsoft Entra ID",[132,1308,1309],{},"Authing (蒸汽记忆)",[142,1311,1312,1325,1338,1351],{},[129,1313,1314,1316,1319,1322],{},[147,1315,210],{},[147,1317,1318],{},"独立中立的全球企业身份管理平台",[147,1320,1321],{},"微软云与办公套件原生的身份底座",[147,1323,1324],{},"中国本土开发者友好的身份云",[129,1326,1327,1329,1332,1335],{},[147,1328,224],{},[147,1330,1331],{},"$2\u002F用户\u002F月(年合同 $1,500 起)",[147,1333,1334],{},"P1 档 $6\u002F用户\u002F月(常含在 M365 E3 中)",[147,1336,1337],{},"基础版数万元\u002F年起(支持私有化报价)",[129,1339,1340,1342,1345,1348],{},[147,1341,238],{},[147,1343,1344],{},"7,000+ 海外 SaaS 连接器、中立不绑云",[147,1346,1347],{},"与 Windows 设备管理及 Office 融合、捆绑划算",[147,1349,1350],{},"预置飞书\u002F企微\u002F钉钉及本土应用、支持本地部署",[129,1352,1353,1355,1358,1361],{},[147,1354,252],{},[147,1356,1357],{},"模块叠加后贵、本土国内应用少",[147,1359,1360],{},"非微软体系应用配置较繁琐",[147,1362,1363],{},"跨国海外小众 SaaS 的现成模板不如 Okta 多",[16,1365,1366,1368],{},[19,1367,266],{},":公司业务面向全球、技术栈是 AWS + Google Workspace + Slack + 几十款海外 SaaS,选 Okta 最省心;如果全公司本来就买了 Microsoft 365 商业高级版或 E3\u002FE5 许可证,直接用里面自带的 Microsoft Entra ID;如果团队主要在国内、核心诉求是打通飞书、钉钉、用友、金蝶和自研内网系统,优先看 Authing、竹云等本土方案。",[12,1370,271],{"id":270},[49,1372,1374],{"id":1373},"q-我们只有-30-个人用很多海外-saas买-okta-划算吗","Q: 我们只有 30 个人,用很多海外 SaaS,买 Okta 划算吗?",[16,1376,1377],{},"A: 不太划算。因为 Okta 有每年 $1,500 的最低合同消费限制,30 人团队平摊下来哪怕只开基础功能,每人每月也要合到 $4.16 以上,还没算自动开户模块。30 人规模建议直接用 Google Workspace 自带的 SAML 单点登录,或者搭配 1Password Business。",[49,1379,1381],{"id":1380},"q-okta-能不能对接国内的飞书钉钉和企业微信","Q: Okta 能不能对接国内的飞书、钉钉和企业微信?",[16,1383,1384],{},"A: 可以打通,但没有海外软件那么顺滑。常见做法是把飞书或企业微信当成上游身份源或下游标准 SAML\u002FOIDC 应用来手工配置,需要双方管理员对着文档配字段映射和证书;如果要实现组织架构多层部门树的实时双向同步,往往还得借助 Okta Workflows 或自己写中间件脚本。",[49,1386,1388],{"id":1387},"q-已经在用-microsoft-365-了还有必要单独买-okta-吗","Q: 已经在用 Microsoft 365 了,还有必要单独买 Okta 吗?",[16,1390,1391],{},"A: 绝大多数情况下没必要。如果你采购的 M365 套餐里已经包含了 Entra ID P1(比如 M365 Business Premium 或 E3),它本身就已经具备了条件访问、多因素认证和主流 SaaS 的单点登录能力,再买一套 Okta 属于重复建设。",[49,1393,1395],{"id":1394},"q-okta-和-auth0-是什么关系我该买哪个","Q: Okta 和 Auth0 是什么关系?我该买哪个?",[16,1397,1398,1399,1402,1403,1406],{},"A: Auth0 在 2021 年被 Okta 收购,现在是 Okta 旗下的 Customer Identity Cloud(CIC)产品线。如果你是管",[19,1400,1401],{},"自己公司内部员工","登录几十个办公软件的权限,买本文评测的 Okta Workforce Identity;如果你是软件开发者,想给自己开发的 App 或网站加一个",[19,1404,1405],{},"外部客户注册登录框",",去买 Auth0。",[12,1408,302],{"id":302},[16,1410,1411],{},"本站针对 Okta 从功能完整度、易用性、数据质量、性价比、客户支持五个维度分别按 0 到 10 分打分,并取加权均值计算总评。文中列出的模块美元报价与最低合同条款均在 2026-11 对照 Okta 官方网站核对,企业实际签约折扣以官方销售合同为准。",[16,1413,1414,1416],{},[19,1415,310],{},":2026-10-21",{"title":313,"searchDepth":314,"depth":314,"links":1418},[1419,1420,1421,1426,1433,1434,1435,1441],{"id":14,"depth":314,"text":14},{"id":28,"depth":314,"text":28},{"id":47,"depth":314,"text":47,"children":1422},[1423,1424,1425],{"id":1157,"depth":321,"text":1158},{"id":1167,"depth":321,"text":1168},{"id":1177,"depth":321,"text":1178},{"id":83,"depth":314,"text":83,"children":1427},[1428,1429,1430,1431,1432],{"id":1189,"depth":321,"text":1190},{"id":1196,"depth":321,"text":1197},{"id":1203,"depth":321,"text":1204},{"id":107,"depth":321,"text":108},{"id":501,"depth":321,"text":502},{"id":121,"depth":314,"text":121},{"id":185,"depth":314,"text":185},{"id":270,"depth":314,"text":271,"children":1436},[1437,1438,1439,1440],{"id":1373,"depth":321,"text":1374},{"id":1380,"depth":321,"text":1381},{"id":1387,"depth":321,"text":1388},{"id":1394,"depth":321,"text":1395},{"id":302,"depth":314,"text":302},[1443,1444,1445,1446],"计费项拆得极碎,把 SSO、自适应 MFA 和生命周期管理配齐后每用户每月要 $9 至 $15","设有每年 $1,500 的最低起售合同额,50 人以下的小公司哪怕单价算下来不到也得按门槛交钱","对飞书、钉钉、企业微信及国内本土财务 ERP 的预置连接器较少,往往要自己手配自定义 SAML\u002FSCIM","管理员后台策略配置层级深,初次梳理路由规则、登录策略与属性映射时学习曲线陡峭","2026-10-21","Okta 评测:SSO 模块 $2\u002F用户\u002F月起,最低年度合同 $1,500,预置 7,000 多个 SaaS 连接器,适合跨国及多云架构企业统一管身份权限;按功能模块拆卖叠加后账单偏贵,国内办公软件对接不如本土厂商现成。",{},"全员都在用飞书或钉钉办公的纯内贸中企,或整套 IT 架构已深度绑定微软 Microsoft 365 的团队","\u002Ftools\u002Fsecurity\u002Fokta",{"free":349,"startingPrice":1453,"currency":727,"billingPeriod":728,"notes":1454},"2","Workforce Identity 按模块计费:Single Sign-On $2\u002F用户\u002F月起,Adaptive Single Sign-On $5\u002F用户\u002F月,Multi-Factor Authentication $3\u002F用户\u002F月,Adaptive MFA $6\u002F用户\u002F月,Lifecycle Management $4\u002F用户\u002F月;年度合同最低消费门槛为 $1,500\u002F年。价格于 2026-11 核对官网。",[1456,1457,1458,1459,1460],"Okta Integration Network 预置超过 7,000 个现成应用集成,主流海外 SaaS 半小时内可走通 SAML 或 OIDC","Lifecycle Management 支持基于 HR 系统状态自动开户、调整权限组与离职秒级撤权","Okta FastPass 支持设备绑定与无密码生物识别登录,降低钓鱼邮件盗取口令的概率","Workflows 提供无代码逻辑编排,无需写脚本即可设置诸如休假期间自动挂起权限等规则","中立身份明显,不绑定特定公有云或办公套件,适合同时混用 AWS、Google Workspace 与微软的团队",{"features":1462,"ease":1463,"data":1464,"price":370,"support":740},9.3,8.2,8.7,{"title":1122,"description":1448},"tools\u002Fsecurity\u002Fokta",[375,1468,1303,1469,1470],"身份与访问管理","单点登录","零信任","https:\u002F\u002Fwww.okta.com","qGlWttmESyrEersEccGNZvpC2tYDNfLIshvfqKkWAPg",1794088445473]