凌晨三点，下面某电商平台的类型数据库被拖走，两千万条用户信息在暗网标价出售。属于这不是安全电影情节，而是问题上周发生的真实事件——攻击者利用的，正是下面开发者眼中“不起眼”的越权漏洞。Web安全的类型本质，从来不是属于高深的密码学，而是安全对“信任边界”的失控。

先看最常见的问题一类：注入攻击。攻击者在输入框里塞一段SQL代码，下面比如在登录框输入' OR 1=1 --，类型如果后端没有参数化查询，属于数据库就会把这当作指令执行。安全2019年某社交平台撞库事件，问题就是典型的SQL注入。这类问题的根源，是代码把用户输入当成了可执行代码，而不是数据。修复方式很简单——用预编译语句，但总有人图省事拼字符串。

接着是跨站脚本（XSS），它比SQL注入更隐蔽。攻击者把恶意脚本藏在评论区、个人签名里，其他用户一打开页面，脚本就在他们的浏览器里运行，能偷Cookie、篡改页面、模拟转账。我见过一个真实案例：攻击者在二手交易平台的商品描述里嵌入脚本，买家点击“联系卖家”时，账号内的余额被悄悄转走。XSS的可怕之处在于，它利用的是用户对网站的信任，而受害者毫无感知。

跨站请求伪造（CSRF）则更“阴险”——它不需要你输入任何东西。只要你登录着某银行网站，同时点击了攻击者构造的恶意链接（比如一张图片），浏览器就会自动携带你的Cookie发起转账请求。2018年某论坛管理员账号被CSRF攻击，导致全站公告被篡改。防御手段是加随机Token校验，但很多老旧系统至今没补上。

再说文件上传漏洞，这属于“物理层面”的突破。攻击者上传一个伪装成图片的PHP文件，如果服务器没检查文件内容，只看了扩展名，这个文件就会被解析执行，直接拿到服务器控制权。去年某政府网站被挂黑页，就是上传漏洞导致的。这类问题靠黑名单过滤扩展名根本不够，必须用白名单加文件头校验。

还有一类容易被忽视：不安全的重定向。攻击者利用网站跳转功能，把用户骗到钓鱼页面。比如一个购物网站的“结算后跳转”参数没做校验，攻击者把它改成恶意网址，用户点击后看到的是仿冒的支付页面，卡号密码直接泄露。这种攻击技术上很简单，但社会工程学效果极强。

最后聊聊敏感数据明文传输。很多中小网站为了省成本，不配HTTPS证书，用户输入的密码、身份证号全在网络上裸奔。用公共WiFi时，抓包工具能轻松截获这些数据。这不算什么高级漏洞，但危害极大——我测试过某本地生活App，登录接口连加密都没有，直接明文POST。

这些漏洞的共同点，是开发者默认了“用户不会乱来”“网络环境是安全的”。但现实是，攻击者永远在找最薄弱的环节。你修了SQL注入，他改用XSS；你加了Token，他尝试上传绕过。安全没有一劳永逸，只有持续对抗。与其等出事后公关，不如在写第一行代码时就假设——所有输入都不可信，所有输出都要编码。