防火墙工作在网络层/传输层，基于IP地址、端口号和协议（如TCP/UDP）控制流量（如阻止外部IP访问内部数据库端口3306）；WAF工作在应用层，专门防护HTTP/HTTPS流量，拦截针对Web应用的攻击（如SQL注入、XSS）。