Web 安全基础：开发者必知的防护指南

安全无小事，这些漏洞必须防范：

XSS（跨站脚本攻击）

攻击方式：注入恶意脚本到页面 防护：

• 对用户输入进行转义
• 使用 CSP（内容安全策略）
• 框架自动转义（React、Vue 默认安全）

// 危险
innerHTML = userInput;

// 安全
textContent = userInput;

SQL 注入

攻击方式：通过输入操纵 SQL 查询 防护：

• 使用参数化查询
• ORM 框架
• 输入验证

// 危险
const sql = `SELECT * FROM users WHERE id = ${userId}`;

// 安全
const sql = `SELECT * FROM users WHERE id = ?`;
db.execute(sql, [userId]);

CSRF（跨站请求伪造）

防护：

• 使用 CSRF Token
• SameSite Cookie 属性
• 验证 Referer 头

其他安全措施

• HTTPS 强制使用
• 密码哈希存储（bcrypt）
• 速率限制防止暴力破解
• 定期更新依赖

原则：永远不要信任用户输入，最小权限原则，纵深防御。