WAF и ORM — это как два разных щита. WAF быстро фильтрует грубые атаки, но ложных срабатываний хватает, из-за чего иногда заблокируют невиновных. ORM помогает с безопасностью внутри кода, снижая риск SQL-инъекций, но без правильной валидации пользователей толку мало. В итоге, лучше комбинировать: код чистить руками, а сверху ставить инструменты, чтобы проще было контролировать ситуацию.