网络安全基础：Web 常见漏洞与防护

OWASP Top 10 核心漏洞

1. SQL 注入

攻击原理：通过输入恶意 SQL 语句操控数据库

防护方案：使用参数化查询，避免字符串拼接

// 错误示例
String sql = "SELECT * FROM users WHERE name = '" + name + "'";

// 正确示例
PreparedStatement ps = conn.prepareStatement("SELECT * FROM users WHERE name = ?");
ps.setString(1, name);

2. XSS 跨站脚本攻击

攻击原理：注入恶意脚本到其他用户浏览器

防护方案：输出编码、设置 CSP 头

function escapeHtml(text) {
  return text.replace(/[&<>"']/g, c => ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#039;'}[c]));
}

3. CSRF 跨站请求伪造

防护方案：CSRF Token、SameSite Cookie

4. 身份认证失效

防护方案：BCrypt 哈希、Session 管理、MFA

5. 敏感数据泄露

防护方案：HTTPS、加密存储、数据脱敏

6. 访问控制失效

防护方案：权限验证、资源归属检查

安全最佳实践

1. 输入验证 - 白名单验证
2. 输出编码
3. 错误处理 - 不暴露敏感信息
4. 日志审计

安全工具

• 扫描：OWASP ZAP、Burp Suite
• 依赖检查：npm audit、Snyk
• 代码分析：SonarQube

安全是持续过程！