反向代理
默认模式：ToutWAF 终结 TLS，检查 HTTP/1.1、HTTP/2 和 WebSocket，并把干净的流量转发到您的源站。
按您的方式部署
反向代理、Kubernetes，或与您现有的代理并存。各处都是同一个引擎、同一个控制台。
目前公开的是开发版 0.3.0-dev，尚无稳定版。
架构一览
客户端
CDN / 负载均衡器（可选）
数据平面节点
您的源站
控制平面：控制台、API、策略
Kubernetes
Helm Chart 和清单文件（ingress、sidecar）随您的发行包提供；运算符目前只有 CRD 和骨架。
与您现有的代理并用
nginx（auth_request）、Traefik（forwardAuth）和 Caddy 可以向 ToutWAF 请求判定；Envoy 和 HAProxy 通过 HTTP 决策接口调用（没有 gRPC ext_authz，也没有 SPOE 代理）。
Docker
适用于 Docker Compose 的一体化镜像，由随附文件构建，根文件系统只读，不带多余权限。目前尚未向镜像仓库发布镜像；只在 Linux amd64 上测试过。
独立运行
由 YAML 策略文件驱动、支持热加载的数据平面，无需控制平面；可用本地压缩包离线安装。
基础设施即代码
用于 Git 和 CI 的 YAML 或 JSON 策略文件、Ansible 角色、Helm Chart，以及面向 Terraform 的 API 客户端（Terraform 提供程序尚未提供）。
高可用
无状态的数据平面节点部署在您的负载均衡器或 keepalived 之后。控制平面不可达时，它们仍按最近一次策略继续防护。备用控制台在您决定时接管。
原生二进制文件
适用于 Linux（amd64、arm64）和 Windows 的单文件程序，以加固的 systemd 服务或 Windows 服务运行。已测试的范围见“支持的系统”。
开发者：一条命令即可本地测试
在您的开发应用前运行 ToutWAF，在终端和控制台中实时查看拦截情况。控制台里能做的一切，也可通过 API 和命令行完成。
bash
toutwaf-dp dev --upstream http://localhost:3000快速、诚实、有数据
达到拦截阈值即提前终止、每个请求有时间预算、已编译策略原子化热加载。延迟和吞吐量用内置基准测试测量；已有的数据连同其局限性一并公布在文档中，绝不提前承诺。
bash
toutwaf-dp bench