一个网站能被打穿，漏洞往往不是漏洞攻击者有多高明，而是漏洞它把自家的漏洞摆在了桌面上。SQL注入能成立，漏洞前提就一条：程序把用户输入直接拼进了SQL语句，漏洞并且还当真去执行了。漏洞这听起来像低级错误，漏洞可现实中，漏洞从老旧的漏洞政府系统到刚上线的创业公司后台，这种“裸奔”的漏洞代码比比皆是。

核心漏洞在于输入与代码没有边界。漏洞你往登录框里敲一个单引号，漏洞如果后端返回数据库报错，漏洞恭喜你，漏洞它已经承认自己把参数当成了命令的漏洞一部分。真正的分界点在于：开发者有没有用参数化查询？有没有对输入做转义过滤？如果都没有，那整个数据库就像一间没锁门的金库，钥匙就插在锁孔里——你甚至不用撬，拧一下就行。

拿个实际例子说，某电商平台的搜索框，用户输入“手机”正常返回结果。但输入“手机' or '1'='1”，如果页面突然把所有商品都列出来了，那就说明SQL语句是这么拼的：SELECT * FROM products WHERE name = '手机' or '1'='1'。单引号闭合了前半个条件，后面那句恒真式把整个查询条件废掉了。这不算什么高深技巧，但它能存在，就是因为代码里没有做任何输入校验——连最基础的过滤都省了。

另一个常被忽略的漏洞点是错误信息泄露。数据库报错时，有些程序直接把原始异常抛到页面上，比如“You have an error in your SQL syntax near 'SELECT...'”。这等于把数据库类型、表结构线索甚至部分查询逻辑都告诉你了。攻击者看到MySQL的报错格式，就知道该用information_schema去翻表名；看到SQL Server的报错，就知道该试sysobjects。这些细节会大幅缩短攻击时间，本来要盲注猜半天，现在直接开卷考试。

还有一层更隐蔽的漏洞——编码与解码的不一致。开发者知道要过滤单引号，于是在代码里把单引号替换成空字符。可如果程序先对输入做了URL解码，再执行过滤，攻击者就能把单引号写成%27，等解码后绕过滤。这种问题经常出现在多层架构里，比如Nginx先解码一层，应用服务器又解码一层，两层对特殊字符的处理规则不同，就会出现缝隙。我见过一个案例，某个后台管理系统把“select”替换成空，但攻击者输入“selselectect”，替换后反而拼出了完整的“select”——这种过滤逻辑本身就是个笑话。

最后得提一下权限分配过宽。很多项目图省事，数据库连接直接用root或者sa账号，应用代码拥有删库、建表的全部权限。就算攻击者只找到一个注入点，他也能用INTO OUTFILE写webshell，或者用xp_cmdshell执行系统命令。如果当初给应用账号只授了SELECT、INSERT、UPDATE的权限，注入的破坏力会被限制在数据层面，不至于直接拿到服务器控制权。但现实是，不少公司的DBA和开发互相甩锅，最后默认“能跑就行”，权限给到最大。

说到底，SQL注入的漏洞不是某个函数写错了，而是整个开发链路缺乏安全意识。框架自带的ORM不好用，就手写拼接SQL；测试环境没人模拟恶意输入，上线后全靠运气；日志里明明有异常查询记录，运维也懒得看。这些才是真正的“漏洞”——技术缺陷只是表象，流程和习惯上的松懈才是根子。