Web安全核心：SQL注入、XSS与CSRF防御实战

1. Web安全入门：从零开始构建安全防线

从事Web开发这些年，我见过太多因为基础安全知识缺失导致的严重事故。记得刚入行时，我也曾犯过把数据库密码硬编码在前端的低级错误。今天，我想系统梳理Web安全的核心知识体系，帮助新人少走弯路。

Web安全不是高深莫测的黑客技术，而是每个开发者必须掌握的生存技能。无论你是前端、后端还是全栈工程师，理解这些原理都能让你写出更健壮的代码。本文将覆盖从基础漏洞原理到实战防御技巧的全套知识，用最直白的语言讲透安全那些事儿。

2. 常见Web漏洞原理深度解析

2.1 SQL注入：数据库的致命漏洞

SQL注入就像给攻击者发了张数据库的万能门禁卡。去年我们公司一个老系统就因此泄露了百万用户数据。原理很简单：当用户输入被直接拼接到SQL语句时，攻击者可以构造特殊输入改变原意。

sql复制-- 危险写法（Python示例）
query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'"

-- 攻击者输入：admin' --
-- 最终SQL：SELECT * FROM users WHERE username = 'admin' --' AND password = ''

这个例子中，--注释掉了后续条件，实现了免密登录。防御方法很简单：

1. 参数化查询（首选）：

   python复制cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s", (username, password))
   

2. ORM框架：

   javascript复制// Sequelize示例
   User.findOne({ where: { username, password } })
   

3. 最小权限原则：数据库账号只给必要权限

实际项目中，我曾遇到过分页参数注入的情况。即使看起来是数字的参数，也一定要做类型转换：

php复制$page = (int)$_GET['page']; // 强制转