1、深入理解http

web应用防火墙对于http必须要进行全面深入分析和解析其有效性；

2、提供明确的安全模型

所提供的安全模型只能够允许已知的流量通过，这主要是未来给应用程序提供外部验证保护；

3、应用层规则

明确的安全模型需要配合基于签名的系统来进行运作，这样做的原因主要是其高昂的维护费用，。但是由于web应用程序都是采用自定义编码的，所以传统针对已知漏洞的签名对其是无效的。因此，web应用防火墙规则采用通用且能够及时发现如：sql注入这种类型的攻击变种。

4、基于会话的保护

由于http的主要弱势表现就是缺乏嵌入式会话机制的可靠性。所以web应用防火墙需要能够实现应用程序会话管理，且能够保护应用程序免受基于会话的攻击或超时攻击。

5、允许细粒度政策管理

其例外政策需要做到只对极少部分的应用程序进行执行，不然可能会造成重大安全漏洞。