内容摘要：上个月，我帮朋友检查他刚上线的小程序。代码跑得挺顺，功能也没毛病。可当我随手打开控制台，看到一串红色报错——那是一条SQL查询语句，直接把用户输入的ID拼了进去。我问他，你知道什么叫SQL注入吗？他愣

上个月，漏洞自查我帮朋友检查他刚上线的漏洞自查小程序。代码跑得挺顺，漏洞自查功能也没毛病。漏洞自查可当我随手打开控制台，漏洞自查看到一串红色报错——那是漏洞自查一条SQL查询语句，直接把用户输入的漏洞自查ID拼了进去。我问他，漏洞自查你知道什么叫SQL注入吗？漏洞自查他愣了一下，说，漏洞自查那是漏洞自查什么？

这不是个例。很多开发者，漏洞自查尤其是漏洞自查刚入行的，都把精力花在功能实现上。漏洞自查需求做完，漏洞自查测试通过，就万事大吉。至于安全，那是运维的事，是安全工程师的事。反正公司有防火墙，有WAF，怕什么？

怕就怕，你以为的防护，在攻击者眼里就是个摆设。

我自己也栽过跟头。几年前做一个后台管理系统，登录接口用了简单的MD5加密。当时觉得挺安全，毕竟密码不是明文传输。后来才知道，彩虹表一查，弱密码秒破。更蠢的是，我还在前端代码里写了默认管理员账号的注释，就为了自己调试方便。结果上线忘了删，等于把钥匙挂在门口。

漏洞自查，说白了就是自己先当一回黑客。不用高深工具，就站在攻击者的角度，看看哪些地方能钻空子。

先从输入框开始。凡是用户能输入的地方，都是潜在的风险点。搜索框、留言板、登录表单，甚至URL参数。你往里面塞一段`