去年某电商平台被拖库，全培攻击者用的训资不是什么零日漏洞，而是全培通过一个未授权的API接口，直接批量拉走了用户手机号和订单记录。训资安全团队复盘时发现，全培这个接口早在半年前就被标记为“低风险”，训资一直没人管。全培这就是训资Web安全的现实——最致命的入口，往往是全培你觉得“应该没事”的地方。

注入攻击：老问题，训资新变种

SQL注入被说了二十年，全培但2024年它依然排在OWASP前十。训资为什么？全培因为开发框架换了、语言换了，训资人的全培偷懒没换。我见过一个Go项目，ORM用得很规范，结果有个报表导出功能，开发嫌ORM拼复杂查询太麻烦，直接fmt.Sprintf拼SQL。参数里带个单引号，整个库就裸奔了。

防御其实不复杂：参数化查询，别拼字符串。但关键是要在代码审查环节盯住那些“临时写一下”的地方。攻击者找的就是这种缝隙。

XSS：不只是弹个窗

很多人对XSS的印象还停留在alert(1)。实际场景里，XSS能做的事远超想象。一个存储型XSS，可以劫持管理员会话，然后以管理员身份调用后台所有接口。更隐蔽的是，攻击者可以在页面注入键盘记录脚本，用户输入的所有内容实时外传。

我观察到一个现象：前端框架（React、Vue）默认做了转义，很多开发者就彻底放松了。但dangerouslySetInnerHTML、v-html这些口子一开，照样中招。还有DOM型XSS，服务端完全看不到payload，WAF也拦不住，全靠前端自己小心。

文件上传：最容易忽视的突破口

上传功能几乎每个系统都有。问题在于，很多系统只检查了前端后缀名。抓包改一下，.php文件就传上去了。更离谱的是，有些系统上传后返回的路径可以直接访问，连解析漏洞都不用找。

正确做法：白名单校验后缀、重命名文件、存储到Web根目录之外、用单独域名提供下载。四步做到位，基本堵死这条路。

越权：逻辑漏洞的重灾区

越权分两种：水平越权和垂直越权。水平越权是A用户能看B用户的数据，垂直越权是普通用户能干管理员的事。这类漏洞扫描器很难发现，因为请求本身“合法”，只是权限判断缺失。

举个真实例子：某SaaS系统，修改用户资料的接口是 /api/user/update?uid=123，uid改成124就能改别人的资料。开发觉得“前端已经传了uid，后端直接用就行”。这种信任前端的思维，是越权漏洞的温床。

防御原则就一条：每个涉及资源的请求，后端必须验证当前登录用户是否有权限操作该资源。别信前端传的任何身份标识。

安全头与配置：低成本高回报

很多攻击能被几个HTTP响应头挡住。Content-Security-Policy能大幅缓解XSS，X-Content-Type-Options:nosniff阻止MIME嗅探，Strict-Transport-Security强制HTTPS。这些配置加上去，成本几乎为零，但很多站点就是没做。

我习惯用securityheaders.com扫一遍，每次都能发现漏配的。不是技术难，是没人提。安全这事，没人提就没人做。

日志与监控：事后补救的底线

假设攻击已经发生，你能多快发现？很多团队是收到用户投诉才知道被入侵了。Web访问日志里其实有大量异常信号：某个IP在短时间内请求了大量不同用户的资源、参数里出现union select、User-Agent是sqlmap。这些规则配上去，至少能第一时间告警。

别指望WAF解决一切。WAF会漏，也会误报。真正靠谱的是自己的日志分析和行为基线。知道正常流量长什么样，才能识别异常。

Web安全没有一劳永逸。今天修好的漏洞，明天改个需求可能又回来了。把它当成开发流程的一部分，而不是一次性的检查任务，才算入了门。