「用了 Shield Advanced 就不必单独付 WAF 费」这句话对，但有四条边界：只覆盖受保护资源、只覆盖标准功能、有请求量上限。Bot Control、CAPTCHA、WCU 超 1500 的 WebACL 都仍然单独收费。
官方文档里有一句话流传很广：「如果你使用 AWS Shield Advanced，则不必单独为 AWS WAF 付费。」
这句话是对的——但它有边界。安全服务的成本之所以容易被误判，就是因为这类「看起来省钱」的规则，实际都带着条件。这篇把那四条边界讲清楚。
安全相关的基线配置另有一篇（面向整体架构），这篇只讲钱：什么被覆盖、什么仍然收费。
先分清：Shield 有两档，其中一档一直免费
| Shield Standard | Shield Advanced | |
|---|---|---|
| 费用 | 免费 | 月费 + 按数据传出的使用费 |
| 怎么开通 | 自动启用，无需配置 | 需要订阅（1 年承诺） |
| 保护范围 | 常见的网络层与传输层 DDoS | 更强的防护 + 应用层防护 + 响应团队 |
第一行值得单独记住：Shield Standard 是随服务自动启用的、对所有客户免费的基础防护——你不需要为它付费，也不需要做任何配置。所以「要不要上 DDoS 防护」这个问题，默认答案已经是「有了」；Shield Advanced 是另一件更贵、也更重的事。
Shield Advanced 覆盖哪些 WAF 费用
按官方文档的表述，订阅 Shield Advanced 之后，它对受保护资源的「标准」WAF 费用是覆盖的。被覆盖的部分很具体：
- 每个保护包（WebACL）的费用。
- 每条规则的费用。
- 每百万请求的基础检查费。
但覆盖带着两个量化上限：
- 容量上限 1500 WCU（WebACL 容量单位）。
- 默认 body size（请求体检查的默认大小）。
另外还有一条请求量上限：订阅包含每月最多 500 亿次对受保护 WAF 资源的请求；超出部分按定价页计费。
有个细节值得注意：官方明确说，被 Shield Advanced 判定为 DDoS 的请求不计入这 500 亿。这个设计是合理的——遭遇攻击不会让你额外付费，否则「防护」反而变成惩罚。
四条它不覆盖的边界
这四条是「不必单独付 WAF 费」这句话的限定条件，也是成本误判的主要来源：
- 只覆盖「受 Shield Advanced 保护」的资源。 你账户里的其他资源的 WAF 使用仍然照常收费。也就是说：订阅不是「整个账户的 WAF 免费」，而是「你点名保护的那几个资源的 WAF 免费」。
- 只覆盖「标准」功能。 例如机器人控制（Bot Control）、CAPTCHA 规则动作这类属于非标准功能，仍然单独收费。
- WCU 超过 1500 的 WebACL 不覆盖。 官方把它明确列为「非标准成本」之一。
- 检查超出默认 body size 的请求体，不覆盖。 需要检查更大的请求体时，这部分是额外费用。
⛔ 把这四条合起来看，就能得出一个更准确的结论：「Shield Advanced 让 WAF 免费」是一个有条件成立的说法——它对受保护的资源、标准功能、限额以内的部分免费。所以如果你本来就在用 Bot Control 或需要检查大请求体，这部分钱不会因为订阅而消失。 以官方 WAF 定价页的完整清单为准。
一个容易踩的组合坑：自动缓解会占你的 WCU 预算
把官方文档里的两条事实放在一起，会出现一个不太直观的后果：
- 事实一：启用 Shield Advanced 的自动应用层 DDoS 缓解，会往你的保护包里添加一个使用 150 WCU 的规则组。
- 事实二：WCU 超过 1500 的 WebACL 不属于免费覆盖范围。
⛔ 推论：如果你的 WebACL 本来就接近 1500 WCU，开启自动缓解可能把它推过阈值——于是原本被覆盖的那部分，会有一部分变成收费。也就是说：这个「自动防护」功能本身可能带来额外成本，取决于你当前的 WCU 用量还剩多少余量。 启用前值得先看一眼现在的 WCU 数字。
这是个典型的「两个正确的事实组合出一个不直观的结论」——单独看每一条都不会发现问题，所以值得专门提醒。
Shield Advanced 自己的费用结构
订阅本身的计费由三部分组成，理解了才知道它为什么只适合特定场景：
| 组成 | 说明 |
|---|---|
| 月费 | 按组织计费（官方 FAQ 口径给出的量级是每月数千美元级） |
| 数据传出使用费 | 按受保护资源传出的数据量计费（CloudFront / 负载均衡 / EC2 / 全球加速） |
| 承诺期 | 要求 1 年订阅承诺，且自动续订 |
关于自动续订，官方给了明确的时间窗：至少提前 30 天通知续订，你可以在续订日前 30 天到 5 天之间联系 AWS 取消续订。
两处与「多渠道 / 多账户」相关的细节（对通过渠道管理的团队有实际影响）：① 合并账单下的多账户只要付一次月费——前提是付款账户拥有这些账户及其资源；② 但 AWS 渠道转售商需要为每个成员账户分别支付月费。同样一件事，在两种账户结构下成本完全不同。
什么情况下它才划算
综合上面的费用结构，判断逻辑其实很清楚——它是一份「针对重要资产的保险」，而不是通用的省钱手段：
- 值得考虑：有面向公网的关键业务、且停机或攻击造成的损失远高于订阅费；业务本身处于易被 DDoS 的行业或阶段。
- 不太值得：内部系统、非关键业务、或流量极小（每月请求量离限额差得很远）。这类场景下 Shield Standard 加上按需开启的标准 WAF 规则通常已经够用，成本也低得多。
- 先算一笔账：把你现在的 WAF 费用、以及自动缓解可能带来的 WCU 变化一起算进去，看订阅能省下多少、又新增多少——而不是只看「WAF 免费了」。
还有一条常被忽略的依赖：要联系 DDoS 响应团队（DRT）获得人工缓解支持，需要 Enterprise 或 Business 级别的支持计划。所以如果你买 Shield Advanced 的目的正是「出事时有人帮我」，那支持计划也是这份成本的一部分——两者要一起评估，见 AWS 支持计划怎么选。
常见问题
Shield Standard 要付费吗？
不要，而且不需要开启。 官方明确：Shield Standard 对所有客户免费、自动配置到你的应用上。它防的是常见的网络层与传输层 DDoS。所以「基础防护」这一层，你已经在用了。
买了 Shield Advanced，账户里所有 WAF 费用都免吗？
不免。 覆盖范围是你指定由 Shield Advanced 保护的那些资源的标准 WAF 功能。未受保护的资源的 WAF 使用照常收费，非标准功能（如 Bot Control、CAPTCHA）也仍然单独收费。
遭遇 DDoS 攻击会产生额外费用吗？
被 Shield Advanced 判定为 DDoS 的请求不计入每月 500 亿的额度——也就是说攻击流量本身不会消耗你的额度。另外官方还提供 DDoS 成本保护：受保护资源在攻击期间因扩容产生的费用可以申请抵扣（该权益受 1 年订阅承诺约束）。
我通过渠道购买的 AWS，Shield Advanced 的月费怎么算？
这里有一条结构性的差别：官方定价页说明，AWS 渠道转售商需要为每个成员账户分别支付 Shield Advanced 月费；而普通的合并账单多账户结构下只需付一次（前提是付款账户拥有这些账户及资源）。所以「你的账户是什么结构」会直接改变这项成本——具体以官方定价页与你与渠道的约定为准。
安全服务的费用能靠折扣覆盖吗？
要看是哪一类折扣。跨服务的整体折扣（私有定价那类）覆盖范围较广，可能包含安全服务；而只覆盖计算类的承诺折扣不涉及它。这两层的区别见 AWS 私有定价怎么谈；完整的优惠分层见 AWS 优惠全览。另外渠道折扣降的是实际支付金额，与官方折扣作用在不同位置，可叠加——见 AWS 折扣与代理定价，五家厂商的机制差异见 五家云厂商折扣机制对比。