宝塔面板不提供“PHPWAF”独立组件；其WAF能力仅存在于Nginx层luawaf.conf和宝塔云WAF服务中，所谓PHPWAF多为混淆概念或低效脚本。
PHPWAF 并不是宝塔官方集成的 WAF 组件，也不是雷池、宝塔云 WAF 或 Nginx-Lua WAF 的别名——它在宝塔生态中不存在独立安装包或一键部署入口。如果你在搜索“宝塔 PHPWAF”，大概率是混淆了以下三类东西：
- 宝塔自带的
luawaf.conf（基于 Nginx + Lua 的轻量规则型 WAF） - 第三方 PHP 层防护插件（如某些 CMS 插件或自研
phpwaf.php脚本） - 对“PHP 环境下启用 WAF”的误称（实际仍是 Nginx 层拦截）
所以结论很直接：宝塔面板不提供、也不支持所谓“PHPWAF”的单独安装；想用 WAF，得选对层级和方案。
为什么找不到“PHPWAF”安装按钮？
宝塔软件商店里没有叫 PHPWAF 的应用，控制台也搜不到。这不是你操作遗漏，而是它根本没被纳入宝塔产品体系。宝塔的 WAF 能力只存在于两个地方：/www/server/nginx/waf/（Lua 规则引擎）和「宝塔云 WAF」（SaaS 服务，需绑定域名走 DNS 解析）。所谓“PHPWAF”，如果指运行在 PHP 进程里的过滤逻辑，那它既无法拦截恶意请求头、CC 攻击，也无法防 SQL 注入——因为请求早就在 Nginx 层被放行进来了。
真要给 PHP 站点加 WAF，该用哪个？
推荐按优先级选择：
