实训第二天下午，应用安我们小组的全防登录接口被隔壁组用SQL注入打穿了。数据库里二十三条测试账号记录，护课像摊开的程实扑克牌一样整整齐齐躺在他们屏幕上。那一刻我意识到，训报所谓web应用安全，应用安不是全防防火墙后面的事，而是护课每一行代码里的事。

我们的程实项目是个简单的图书管理系统，前端Vue，训报后端Node.js，应用安数据库MySQL。全防安全防护的护课念头起初根本没进脑子——能跑就行，是程实大多数学生的通病。直到指导老师拿出Burp Suite，训报对着我们那个看起来人畜无害的搜索框输入了`' OR '1'='1`，页面瞬间吐出了全部用户信息。我盯着屏幕，后背有点发凉。

修复过程比想象中麻烦。参数化查询改起来并不难，难的是排查所有隐患点。我们代码里至少有七处直接拼接SQL的地方，有些藏在工具函数里，有些写在回调函数深处。改完SQL注入，老师又让我们测XSS。这回学乖了，先在输入框里塞了段``，果然弹窗。更麻烦的是存储型XSS，评论区的脚本会存进数据库，每个访问者都中招。我们后来给所有输出加了转义，但说实话，这就像给房子装防盗门，防得住君子，防不住有心人。

第三天做文件上传漏洞测试时，我们差点把服务器搞崩。一个没限制后缀名的上传接口，允许上传.php文件，配合Apache的解析漏洞，理论上能直接getshell。虽然只是实训环境，但那种“差点就能拿下服务器”的紧张感，比任何理论课都让人印象深刻。我们最终用白名单校验加随机文件名解决了问题，但过程极其狼狈——改完代码忘了重启服务，排查了半天才发现是缓存作祟。

最让我触动的是CSRF攻击演示。老师让我们登录自己的实训账号，然后访问一个恶意链接。页面是个假的表情包下载站，但背后藏着一个向图书管理系统发起的转账请求。我们根本没意识到自己已经“被操作”了，直到刷新后台，发现账户余额归零。那种无声无息的攻击方式，比SQL注入的粗暴直接可怕得多。后来我们给所有敏感操作加了token校验，可我心里清楚，在真实互联网环境里，攻击手段远比实训内容复杂。

实训最后一天，我们给自己的系统做了一次简单渗透测试。用Nmap扫端口，用sqlmap跑注入，用dirsearch扫目录。结果发现一个备份文件直接泄露了数据库连接信息——那是我们第一天为了省事，把配置信息写在`.env`文件里，又顺手打了个zip包放在web目录下。老师说，这种低级错误，在真实项目中比复杂漏洞更致命。我盯着那个zip包，半天没说话。

五天的实训，我们修复了十几个漏洞，但真正的收获不是这些修复技巧。是那种“任何输入都不可信”的思维方式，是“默认不安全，需要逐层验证”的防御态度。写代码时手会不自觉停下来想想：这个参数能不能被篡改？这个接口能不能被暴力破解？这种意识，比任何安全工具都管用。