一个下午，安全某电商平台的漏洞数据库被拖走，两百多万条用户信息挂在暗网叫卖。安全事后排查，漏洞入侵入口不过是安全后台登录页的一个SQL注入点——开发在拼接查询语句时，忘了过滤用户输入。漏洞这类事每天都在发生，安全而且多数漏洞，漏洞远没你想的安全那么高深。

SQL注入是漏洞Web安全的老祖宗。原理简单得近乎粗暴：你让用户填一个用户名，安全他填进去一段SQL代码，漏洞程序不识别，安全直接拼进数据库查询里执行。漏洞结果就是安全，本该查一条记录，变成了删一张表。防御手段也不复杂，参数化查询加输入过滤，基本能堵死九成。但现实是，很多老系统、外包项目、赶工上线的功能，依然在用字符串拼接SQL。我见过一个银行内部系统，2015年上线，至今还留着这种洞，只是因为内网访问，没人当回事。

XSS（跨站脚本攻击）则是另一种思路——不直接打服务器，而是打用户。攻击者把恶意脚本塞进评论区、个人签名、搜索框，其他用户一打开页面，脚本就在他们的浏览器里跑起来。轻则偷个cookie，重则模拟你操作转账。有个经典案例：某社交平台允许用户自定义昵称，有人把昵称设成一段JavaScript，管理员在后台看到这条消息时，会话令牌直接被发到了攻击者服务器。这类漏洞的核心问题，是开发者把用户输入当成了可信内容。正确做法是输出编码，把所有动态内容按HTML实体转义。可总有人嫌麻烦，觉得“就显示个名字能出什么事”。

文件上传漏洞更直接。论坛、网盘、头像上传功能，如果没限制文件类型，攻击者传个PHP、JSP文件上去，服务器一旦执行，就等于把家门钥匙交出去了。我见过一个企业OA系统，上传附件只检查了文件后缀，攻击者改个扩展名就绕过了。更狠的是图片马——把代码藏在图片的EXIF信息里，配合解析漏洞触发。这类问题要靠白名单校验、文件内容检测、存储与执行目录分离来解。但很多小团队图省事，上传目录和Web根目录放一起，等于把炸弹放在自己枕头底下。

还有一类容易被忽视的，是越权访问。开发时习惯把用户ID放在URL参数里，比如order?id=123，如果后端不校验这个订单是否属于当前登录用户，那把123改成124，就能看到别人的订单、地址、手机号。水平越权如此，垂直越权更危险——普通用户直接访问管理员的URL路径，如果权限校验缺失，后台就对你敞开。这类漏洞没有统一修复方案，只能靠完善的权限模型和严格的接口鉴权。但很多团队把精力全放在功能开发上，权限验证往往是最后才补的，甚至干脆不补。

别以为这些漏洞离你很远。去年一个开源CMS爆出RCE（远程代码执行）漏洞，影响了几十万个网站，而大多数站长根本不知道自己在用这个CMS。安全这东西，平时看着像成本，出了事才知道是保险。我写代码这些年，见过太多“先上线，后补洞”的项目，补着补着就忘了，忘了就等着被黑。与其迷信WAF、防火墙这些外部设备，不如从写第一行代码时就想着：用户输入不可信，输出要编码，权限要校验。这三句话记牢了，能挡掉市面上八成以上的攻击。