内容摘要：去年冬天，一个做跨境电商的朋友半夜给我打电话，说网站被拖库了。用户表里三万条记录被挂在某论坛上，标价0.5个比特币。他的技术负责人排查了两天，最后发现漏洞出在一个两年前离职员工写的促销页面——那个页面

去年冬天，应用防一个做跨境电商的应用防朋友半夜给我打电话，说网站被拖库了。应用防用户表里三万条记录被挂在某论坛上，应用防标价0.5个比特币。应用防他的应用防技术负责人排查了两天，最后发现漏洞出在一个两年前离职员工写的应用防促销页面——那个页面直接拼接SQL查询，连参数化查询都没用。应用防攻击者用sqlmap扫了一遍，应用防十分钟就拿到了数据库权限。应用防这件事让我重新审视一个问题：web应用防护到底在防什么？应用防

大多数人第一反应是防黑客。这个答案太笼统。应用防具体来说，应用防web应用防护要应对的应用防是三类东西：自动化扫描器、人工渗透、应用防以及内部人员疏忽。前两者是外部威胁，后者往往更致命。上面那个案例，根因不是黑客多厉害，而是代码里埋了一颗雷，两年没人踩，偏偏被扫描器碰上了。

OWASP Top 10每年都在更新，但真正在真实环境里被利用的漏洞，高度集中在几个点上。注入类（SQL注入、命令注入）排第一，XSS排第二，然后是失效的访问控制。我统计过自己经手过的十几个被入侵案例，SQL注入占了将近一半。原因很朴素：开发人员图省事，字符串拼接写惯了，安全意识停留在“我会转义单引号”的水平。

WAF（Web应用防火墙）是很多团队的第一道防线。但WAF有个尴尬的地方：规则太松，漏报；规则太严，误报。我见过一个电商网站，WAF把用户提交的包含“select”关键词的搜索请求全部拦截了——用户搜“select chair”直接返回403。后来运维把规则调松，结果SQL注入又放进来了。WAF不是银弹，它更像一个筛子，孔径大小需要根据业务流量反复调。

真正有效的防护得从代码层面做起。参数化查询能干掉绝大多数SQL注入，输出编码能挡住大部分XSS，CSRF Token加上SameSite Cookie能解决跨站请求伪造。这些都不是新技术，但落地情况参差不齐。我见过一个团队，后端用Java写得好好的，前端为了赶进度直接用了innerHTML渲染用户评论，XSS漏洞一抓一大把。防护是木桶效应，最短的那块板决定水位。

还有一个容易被忽略的点：依赖库。Log4j2那个漏洞爆发的时候，多少团队连夜升级？但升级完之后呢，有没有建立依赖库漏洞监控机制？我见过一个项目，pom.xml里引了三十多个第三方库，其中八个有已知CVE，最老的一个是2019年的。没人管。因为“能跑就行”。这种心态下，web应用防护就是一句空话。

说回我那个朋友。后来他做了几件事：把所有数据库查询改成参数化，给WAF加了自定义规则拦截高频扫描，每周跑一次依赖库漏洞扫描，还买了个RASP（运行时应用自我保护）做兜底。成本不高，但至少下次有人拿sqlmap扫的时候，不会十分钟就沦陷。防护不是一劳永逸的事，它更像打扫房间——你不扫，灰尘不会自己消失，只会越积越厚。

最后说一个观察：很多团队把安全当成上线前的检查项，而不是开发流程的一部分。代码写完才想起来找安全的人来看，这时候改造成本已经很高了。把安全左移，在需求评审和代码review阶段就把注入、XSS这些常见问题堵住，比事后打补丁省力得多。这个道理不新鲜，但真正做到的人，我见过的不多。