昨天下午，网站我登录公司后台准备更新产品图，安全页面加载到一半突然弹出“连接已重置”，隐患刷新三次才进来。整改运维老刘说，报告这是网站当天第27次被扫描器“问候”。这不是安全个例——上周安全巡检报告里，漏洞清单列了整整两页，隐患其中高危项就有5个。整改

先说最吓人的报告那个：SQL注入。我们有个老旧的网站搜索接口，参数没做过滤，安全直接拼接进数据库查询语句。隐患测试人员拿了个简单的整改payload试了下，几秒钟就把用户表前十条记录拖出来了。报告这要是被别有用心的人拿到，后台密码哈希值、手机号、订单地址全得裸奔。修复办法倒不复杂，把参数化查询加上，再给输入框加个长度和字符白名单，两天搞定。但问题在于，这个接口是2018年外包团队写的，文档早就丢了，要不是这次排查，根本没人记得还有这么个入口。

第二个问题是后台登录没有双因素认证。我们运维自己都吐槽，公司WiFi密码贴在会议室白板上，后台地址又没做IP白名单限制，只要有人混进办公室连上内网，拿个弱口令字典跑一遍，总有几个账号能中招。上周五我亲眼看着安全同事用测试账号“admin123”登进了演示环境——那密码还是三年前我随手设的，后来一直没改。整改方案不复杂：强制全员启用TOTP验证码，一个月内完成，过期未绑定的账号直接冻结。顺便把后台登录失败的锁定阈值从10次改成5次，防爆破效果立竿见影。

还有个容易忽略的坑——第三方组件版本过老。我们的前端框架还停在Vue 2.6，配套的axios库里有个已知的XSS漏洞，CVE编号都公开半年多了。攻击手法很直接：在评论区提交一段构造过的HTML，脚本就能在管理员浏览页面时窃取cookie。这漏洞本身危害不算大，但架不住我们后台有个“最近访客”功能，会把输入内容原样渲染。修复起来有点疼，升级到Vue 3要改不少组件，但至少先把axios升级到安全版本，再把评论区的HTML标签全部过滤掉，先堵住眼前的窟窿。

说到整改过程，最费劲的不是技术，是跨部门协调。电商部说“改登录方式影响客户体验”，市场部说“升级期间别动官网，我们正做活动”。后来定了个折中方案：核心数据库的访问必须走VPN加证书认证，官网前端先只做输入过滤和WAF拦截，等大促结束再动大手术。这种妥协我当然不满意，但现实就是这样——安全永远要在业务需求边上找平衡点。不过有件事我坚持到底了：把所有服务器的SSH密码登录全部禁用，只留密钥认证。当时运维群里哀嚎一片，说有的脚本工具不支持密钥，我回了一句“那正好，逼你们把脚本升级一遍”。三天后，没人再抱怨了。

报告最后附了张整改进度表，12项里完成了8项，剩下的排到下个月。老刘在表底写了句批注：“别以为改完就没事了，下季度还得复查。”我挺认同这话——安全整改不是交作业，是持续打地鼠。今天补了注入漏洞，明天可能冒出个越权访问。但至少现在，我能正常打开后台页面了，不用再担心那个搜索接口半夜被人拖库。