用具体请求解释常见 Web 攻击的触发条件、危害和防护边界，并说明 WAF 为什么不能替代代码安全。