chaitin/SafeLine

解决什么问题

把 Web 应用暴露到公网，几个小时之内就会有人来扫描。Cloudflare 免费版这类托管方案接入简单，但所有流量都过第三方，而且它自身检测能力有限；ModSecurity 这类自托管规则引擎则需要你自己调规则集，还要忍受持续不断的误报。SafeLine 面向的是想把流量检测放在自己基础设施上、又不想专门养一个 WAF 运维的团队。

有什么不同

它是带管理界面的 Go 反向代理，而不是往 nginx 上挂的一堆规则文件。检测能力内置，README 自带的评测表声称严格模式下检出率约 76%，对比 ModSecurity Level 1 的约 70%；误报约 0.2%，而 ModSecurity 约 17.6%、Cloudflare 免费版检出率约 10.7%。这些是厂商公布的数据，样本集 33,669 条且未说明来源，只能当参考起点，不是结论。除了特征检测，它还提供反机器人挑战、密码门禁、按 IP 限流，以及每次访问都重新加密 HTML/JS 的动态防护。生态上有 Ingress-NGINX 和 Kong 插件，以及用于 AI 辅助管理的 MCP Server。

适合谁

适合跑几个 Web 应用的中小团队，尤其是流量不方便交给美国云厂商、或合规上不允许的环境，以及不想维护 CRS 规则的人。自托管和 homelab 场景同样适用。如果你需要深度自定义规则编写，如果已有调好的 ModSecurity/CRS 流水线，或者规模已经大到单个反向代理成为瓶颈、需要分布式边缘，那就该看别处。

上手成本

你需要一台机器跑代理和管理控制台，还要有纪律地把每个应用都挂到它后面，并理顺 TLS 证书。README 对系统要求、架构和升级路径写得很薄，这些都在外链的安装与配置文档里，动手前务必先读。许可证是 GPL-3.0，如果你打算内嵌或再分发需要留意。另有付费 PRO 版；README 明确警告中国大陆用户装国际版可能连不上云服务，这是个实打实的坑。

点评

SafeLine 不是刚冒出来蹭热度的新项目：2023 年 4 月创建，累计约 2.29 万 star，周榜 Go 分类排到第 8、一周 +167 star，而日增只有约 15。这个曲线更像长期稳定增长，而不是发布时的爆发。70 万安装、200 万站点是自报数据，但项目年龄、生态插件和榜单历史都对得上「有人真的在用」这件事。如果你想找一个一下午能搭起来、从界面调策略的 WAF，它值得先试；至于那张对比表，请先用自家流量验证再信。