去年秋天，网站一个做跨境电商的安全朋友半夜给我打电话，说网站首页被挂了一条博彩广告。漏洞他以为只是检测改个文件的事，结果登录服务器一看，网站后门脚本已经藏了三个月，安全数据库里几万条订单记录被打包发到了境外IP。漏洞这不是检测电影情节，是网站真实发生的事。网站安全漏洞检测，安全说到底就是漏洞跟攻击者抢时间——你比他们先找到缺口，就能少赔一笔钱。检测

很多人觉得漏洞检测就是网站跑个扫描器，等报告出来修修补补。安全太天真了。漏洞工具能查出来的，通常是已知的、公开的漏洞，比如过期的jQuery版本、没打补丁的Struts2。但真正要命的往往是逻辑漏洞。我见过一个电商站，优惠券接口没有校验用户ID，改个数字就能无限领券。扫描器对这种问题毫无反应，因为它不“认识”业务逻辑。

SQL注入依然是最常见的入口。去年某省人才市场网站被拖库，起因就是一个查询参数没过滤。攻击者用sqlmap跑了一晚上，拿走了八千多条身份证和手机号。检测这种漏洞，手工测试比自动化工具靠谱。比如在参数后面加个单引号，看页面是否报数据库错误；或者用and 1=1和and 1=2对比返回结果。这些老办法，现在照样管用。

XSS漏洞更隐蔽。有些网站对用户输入做了转义，但忘了在JavaScript里二次编码。我测试过一个论坛，发帖时插入<img src=x onerror=alert(1)>，页面没弹窗，以为安全了。结果切换到手机端，同样的帖子直接触发。原因是移动端模板用了不同的渲染逻辑。检测XSS不能只看一个入口，要覆盖所有输出点——HTML、属性、URL、脚本块，每个上下文处理方式都不一样。

文件上传漏洞经常被低估。一个客户坚持认为他做了白名单校验，只允许jpg和png。我上传了一个shell.jpg.php，服务器居然解析了。原因是他用的Apache配置里，AddHandler把多个扩展名都映射给了PHP。检测的时候，除了看前端校验，还得抓包改Content-Type，试双扩展名、大小写混合、%00截断。这些细节，扫描器报告里不会写。

逻辑漏洞的检测最考验人。比如密码重置功能，正常流程是发邮件带token。但有的网站token生成用的是时间戳加用户ID的MD5，攻击者可以自己算出来。还有的网站，重置密码时把用户ID放在隐藏字段里，改一下就能重置别人的密码。这类问题没有固定规则，只能靠对业务流程的理解去推演。我习惯画一张状态图，把每个请求的输入输出标出来，然后问自己：如果我是攻击者，会从哪里下手？

检测完了，修复才是大头。很多开发者的第一反应是“加个WAF”。WAF能挡一部分，但绕过的办法多得是。编码、分块传输、参数污染，都能让WAF失效。真正的修复是改代码：参数化查询、输出编码、最小权限原则。我见过一个团队，把数据库用户的权限从ALL改成SELECT,INSERT,UPDATE，直接让一个SQL注入漏洞变成了无效攻击。

定期检测的频率，取决于网站的变化速度。如果一个网站每周都上新功能，那至少每月做一次全面检测。平时可以用自动化工具跑基线扫描，但关键业务逻辑必须手工测。别指望一次检测管一年，攻击者的工具和手法在变，你的代码也在变。漏洞检测不是一锤子买卖，是持续的过程。

最后说个实在的：别等出了事才想起检测。我那个朋友后来花了三周时间清理后门、通知用户、配合调查，直接损失超过二十万。如果提前做一次渗透测试，成本不到这个数的十分之一。网站安全漏洞检测，本质上是用可控的成本，去避免不可控的灾难。