该论文面向 Web 应用安全中的 HTTP 请求异常检测问题。作者指出，传统 Web 应用防火墙（WAF）主要依赖人工规则，存在误报率高、对新型攻击与业务变化适应性差的问题；已有研究尝试用机器学习与词嵌入模型改善检测效果，但不同嵌入模型之间的可比性不足，缺少统一、可复现的评测基准。为此，论文构建了一个针对静态嵌入模型的对比评测基准，覆盖 Word2Vec、FastText 与 Doc2Vec 三种表示方法，并提出 HEDA（HTTP Embedding-Based Detection Architecture）——一个模块化的检测流水线，将静态嵌入表示与单类（single-class / one-class）异常检测器结合，在请求粒度上判定异常。整个方法运行于无监督设定下：嵌入模型与检测器均只用良性 HTTP 流量训练，不依赖攻击样本标注，从而更贴近真实部署中攻击样本稀缺的现实。评测在三个特征异构的数据集上进行，既包含合成流量也包含真实流量，以检验方法的泛化能力。实验结果显示：嵌入表示的选择对检测性能影响显著；基于 FastText 的嵌入在全部数据集上表现最为稳定，能够在保持较低误报率的同时取得较高检测率。论文的贡献可归纳为三点：一是提供可比较的静态嵌入模型基准；二是提出模块化、可替换组件的 HEDA 检测架构；三是通过跨数据集实验给出嵌入选型的经验性结论，为后续把嵌入方法落地到 WAF 或 API 网关场景提供参考。该工作适合 Web 安全、异常检测与 ML-for-Security 方向的研究者及希望改进 WAF 检测策略的安全工程师阅读。

传统 Web 应用防火墙（WAF）主要依赖签名检测已知攻击，面对变种或未见过载荷容易留下防护缺口。正向安全（positive security）通过刻画合法流量形态并阻断偏离该形态的输入，作为补充思路，但其关键难点是：直接从实时流量学习可能导致恶意请求污染训练数据，使学到的白名单策略不安全。本文提出 WAPP（Whitelisting Autonomous Policy Producer）框架，用于安全地从实时流量中生成正向安全 WAF 策略。WAPP 结合四个核心环节：信任过滤（先剔除可疑流量）、确定性规则合成（从可信数据生成白名单规则）、置信度评分（评估规则质量）、验证后执行（在强制拦截前先进行验证）。作者使用真实的 Coraza 与 OWASP Core Rule Set（CRS）环境，在三个受控应用上评估该框架。实验结果显示：在 DVWA 用户名字段的测试中，未经过滤的学习在仅 0.2% 的数据被污染时即出现性能退化，在 0.5% 时功能崩溃；而即使无污染，自由文本字段也可能允许恶意输入进入。在冻结的污染数据集上，启用全部七种候选信号的消融配置将测得的抗污染韧性从 53% 提升至 90%，相比之下 Kruegel-Vigna 基线仅为 62%。此外，确定性规则合成器能够以无需模型推理成本的方式实现与所测试语言模型相当的攻击阻断能力。总体而言，WAPP 可在受限字段上阻断已确认的 CRS 绕过，但自由文本输入仍是精度挑战，需要字符级操作符控制。本文适合研究 WAF、正向安全以及蓝队防御的技术人员阅读。

本研究针对SQL注入（SQLi）检测这一Web应用安全中的关键挑战，进行了系统的文献综述以识别研究空白，并据此设计并优化了一个基于DistilBERT的堆叠集成检测管道。该管道首先对数据进行全面的预处理与分词，提取DistilBERT嵌入，然后训练多种机器学习与集成分类器，并在准确率、精确率、召回率和F1分数上进行比较排序。最终选出表现最好的三个模型（逻辑回归、XGBoost和SVM），通过一个神经元元学习器组合成堆叠集成。为了提升鲁棒性，研究者使用快速梯度符号法（FGSM）生成对抗样本对集成模型进行加固，并利用Optuna进行超参数调优。优化后的集成模型在所有报告指标上达到了99.81%的准确率，与最强的单模型（DistilBERT-SVM，99.82%）几乎持平，但在评测平台上，集成模型对完整测试集的分类耗时仅0.0136秒，而DistilBERT-SVM需1.896秒，推理延迟降低了约140倍，同时仍能在单步FGSM攻击下保持99.77%的准确率。研究的主要贡献在于设计和验证了一个以实时速度实现最先进准确率，并对单步FGSM攻击展现出鲁棒性的SQLi检测器，而非仅关注微小的准确率提升。敏感性分析进一步确认了模型的稳定性。这些发现凸显了对抗训练和堆叠元学习在构建稳健的Web应用防火墙（WAF）用于SQLi检测中的价值。为促进开放性验证，数据集、测试集和模型已在GitHub上公开。

该研究针对 Web 应用安全中检测复杂 SQL 注入（SQLi）攻击这一关键难题，提出了一种基于 BERT 与图神经网络（GNN）的混合检测模型，并针对 Web 应用防火墙（WAF）场景进行优化。方法上，先将 SQL 查询进行分词处理，通过 BERT 编码为上下文相关的向量表示，再将每个查询构造为图结构，用这些上下文嵌入初始化图中节点的特征，随后使用 GNN 对图进行分类，以判断查询是否为恶意 SQLi。模型超参数由 Optuna 自动调优，优化目标涵盖准确率、精确率、召回率和 F1 分数。实验结果显示，该模型在攻击类上达到 99.67% 的准确率、99.71% 的精确率、99.39% 的召回率和 99.55% 的 F1 分数。进一步通过对图输入进行扰动操作进行敏感性分析，得到平均敏感度分数为 0.0037，表明模型在扰动下预测结果稳定，说明其具有较好的鲁棒性。研究结果表明，将 BERT 的上下文语义理解能力与 GNN 的结构建模能力结合，能够有效提升对复杂 SQLi 攻击变体的检测效果，同时有助于降低误报率和漏报率。为便于验证，作者公开了数据集、测试集和模型实现。该工作对于 WAF 安全检测、Web 攻击识别以及基于深度学习的入侵检测系统研究具有参考价值。适合 Web 安全工程师、WAF 开发人员、以及从事基于机器学习的安全检测研究人员阅读。