上周五晚上十一点，络安某电商平台的全培数据库被拖走了。不是络安黑客炫技，是全培运维同事把测试环境的账号密码硬编码在了前端代码里，扫一下JS就拿到了。络安这事不新鲜，全培但每次发生都让人后背发凉——web安全的络安漏洞，八成不是全培技术多高深，而是络安常识没落地。

你打开浏览器，全培输入网址，络安回车。全培这中间经过DNS解析、络安TCP握手、全培TLS协商、络安HTTP请求、后端处理、数据库查询，最后渲染成页面。任何一个环节都能做手脚。DNS被污染了，你访问的就不是真网站；TLS证书过期了，中间人就能解密你的流量；HTTP头没配好，跨站脚本攻击（XSS）就能直接偷走你的Cookie。这些不是课本上的名词，是每天发生在真实服务器上的攻防。

培训时我常让人做个实验：用浏览器开发者工具改一下前端校验，比如把密码长度限制从8位改成1位，然后提交。很多人惊讶地发现——后端居然没拦。前端校验只是用户体验，后端才是安全底线。这就像你家门锁装在了门帘上，看着有，一扯就掉。

SQL注入更老套，但依然有效。某年某政务系统被注入，攻击者只用了' or 1=1 --这一行，就把整个用户表导走了。为什么？因为开发直接拼接字符串，没用参数化查询。这种漏洞在OWASP Top 10里躺了十几年，年年上榜，年年有人踩。你问他们为什么不用预编译？答曰“赶进度”。

还有个容易被忽略的点：第三方组件。你的代码写得再安全，引用的npm包或jQuery插件有洞，全白搭。前阵子某个日志库爆出反序列化漏洞，全球几万个网站中招。你根本不知道自己依赖的库有多少层嵌套，每层都可能藏着雷。所以，npm audit和pip check这类命令，不是摆设，是保命符。

再讲个细节。很多人觉得HTTPS就是安全了，其实证书过期比没证书更坑。证书过期后浏览器会报错，但有些用户会点“继续访问”，然后所有加密形同虚设。更糟的是，有些站点混合内容——页面是HTTPS，但图片或脚本走HTTP，这就像给保险箱装了个玻璃门，看着严实，一砸就碎。

培训中我总强调一点：安全不是某个安全工程师的事，是每个写代码的人的事。你写接口时多想想“这个参数能不能被伪造”，你配服务器时多问问“这个端口真的需要对外开放吗”，你提交代码前多跑一遍扫描工具——这些习惯比任何防火墙都管用。

说到底，web安全培训不是让你成为黑客，而是让你别当那个把钥匙藏在门口垫子下的房东。攻击者不需要多聪明，他只需要你足够粗心。而你，完全可以不给他这个机会。