SQL注入、下属XSS、于w应用CSRF、漏洞文件上传漏洞、下属越权访问——这些名字在安全圈里天天被提起，于w应用但真要把它们和"web应用漏洞"画等号，漏洞得先搞清楚边界在哪。下属去年某电商平台被拖库，于w应用起因就是漏洞一个没过滤的搜索参数，攻击者用联合查询直接读走了用户表。下属这就是于w应用典型的SQL注入，属于web应用漏洞，漏洞没跑。下属但同一时期另一家公司内网被渗透，于w应用根因是漏洞员工点了钓鱼邮件，那就不是web应用漏洞，而是社会工程学攻击。分类错了，防御方向就全歪。

web应用漏洞的核心判断标准其实就一条：攻击面是否落在HTTP/HTTPS协议的请求响应链路里。浏览器发请求、服务器处理、返回数据，这个闭环中任何环节被恶意利用，都算。比如XSS，攻击者往评论区塞一段<script>，其他用户浏览时脚本在浏览器执行，窃取cookie。这完全发生在web应用的正常功能里，属于。

再看CSRF。某银行后台的转账接口只验证了cookie，没加token。攻击者做个恶意页面，诱导已登录用户访问，页面自动向银行发转账请求，钱就转走了。请求从用户浏览器发出，带着合法cookie，服务器以为是用户自愿操作。这当然算web应用漏洞。但如果你说"用户电脑中了木马，键盘记录器截获了密码"，那叫终端安全事件，别往web漏洞上靠。

文件上传漏洞的判断稍微绕一点。一个论坛允许上传头像，但没检查文件类型和内容。攻击者传了个.php文件，然后通过URL直接访问，服务器当脚本执行了。这属于web应用漏洞——因为漏洞出在应用对上传文件的处理逻辑上。但如果服务器配置本身就没把.php交给PHP解析器，那攻击者传了也白传，这时候问题就变成运维配置缺陷，虽然也危险，但归类上更偏基础设施。

越权访问分两种。水平越权：用户A能查用户B的订单，改一下URL里的订单ID就行。垂直越权：普通用户能访问管理员接口。这两种都是web应用漏洞，因为权限校验逻辑写在了应用层，没做好。我见过一个真实案例，某SaaS系统用/api/user/{ id}/profile这种接口，把{ id}从自己的改成别人的，直接返回他人手机号和邮箱。开发觉得"前端不展示这个入口就行了"，典型的掩耳盗铃。

那哪些容易混淆但不算？比如服务器使用过时的OpenSSL版本导致心脏出血漏洞。这属于组件/协议层漏洞，虽然web应用跑在上面会受影响，但根因不在应用代码。再比如DDoS攻击，打的是可用性，不是利用应用逻辑缺陷。还有信息泄露——如果robots.txt里写了后台地址，这算配置不当，严格说属于web应用安全配置问题，但和"漏洞"的主动利用性有区别。

有个细节值得注意：很多漏洞是组合出现的。比如XSS加上CSRF，可以绕过token防护。文件上传加上目录穿越，能覆盖配置文件。这时候别纠结单个分类，看攻击链的起点在哪。起点是HTTP请求参数，那就是web应用漏洞。

判断时问自己三个问题：攻击者能不能通过浏览器或HTTP工具直接触发？漏洞逻辑是不是写在应用代码或应用配置里？影响范围是不是限于该web应用的数据和功能？三个都是"是"，别犹豫，归到web应用漏洞里。有一个"否"，就得重新想。

实际工作中，漏扫报告经常把"缺少HTTP安全头"也标成漏洞。这算吗？算安全缺陷，但利用难度高，通常需要配合其他漏洞。别被工具的输出牵着走，理解原理比记住分类重要。你分得清，才知道修哪里。

(责任编辑：百科)