内容摘要：2017年，一个叫“WannaCry”的勒索病毒横扫全球150多个国家。医院停诊，工厂停产，加油站断供。攻击者用的不是什么天顶星科技，而是美国国安局泄露的网络武器“永恒之蓝”。那会儿我刚好在一家制造企

2017年，全技一个叫“WannaCry”的全技勒索病毒横扫全球150多个国家。医院停诊，全技工厂停产，全技加油站断供。全技攻击者用的全技不是什么天顶星科技，而是全技美国国安局泄露的网络武器“永恒之蓝”。那会儿我刚好在一家制造企业做安全运维，全技凌晨三点被电话叫醒，全技说产线控制系统的全技电脑开始弹红色勒索窗口。赶到现场，全技我看到一台台工控机像多米诺骨牌一样倒下——补丁没打，全技端口暴露，全技内网裸奔。全技这事让我彻底明白：web安全不是全技防火墙和杀毒软件堆出来的摆设，它是攻防博弈的活战场。

Web安全的核心矛盾，其实是信任与验证的失衡。浏览器信任服务器发来的证书，于是有了中间人攻击；开发者信任用户的输入，于是SQL注入和XSS（跨站脚本攻击）能长驱直入；运维信任内网足够干净，于是横向渗透像逛自家后院。拿XSS举例，攻击者把恶意脚本塞进评论区，其他用户一打开页面，cookie就被偷走，会话被劫持。这种攻击不需要多高深的技术，但造成的危害可能波及成千上万的访问者。我见过一个电商平台，因为商品搜索框没做过滤，被植入挖矿脚本，用户浏览商品时CPU飙到百分之百，页面卡成PPT，平台口碑一夜崩盘。

换个角度看，安全漏洞很多时候不是写代码的人偷懒，而是业务跑得太快，安全被甩在身后。某社交APP为了抢上线时间，把用户头像上传接口直接暴露，没有校验文件类型。结果有人传了个PHP webshell，拿到服务器权限，把整库用户手机号拖走。事后复盘，开发说“赶版本”，产品说“老板要的”，安全说“我提了但没人听”。这种场景太熟悉了——安全不是技术问题，是流程和优先级的问题。

当然，对抗手段也在进化。现在WAF（Web应用防火墙）能拦截大部分常见攻击，但攻击者也有对策：用编码绕过，用分块传输拆分payload，甚至直接打API接口绕过页面防护。还有更阴的——供应链攻击。攻击者不直接打你的站，而是攻破你引用的第三方JS库，往里面塞后门代码。你什么都没做错，但你的用户全被种了木马。2020年SolarWinds事件就是活例子，美财政部、商务部全中招，因为用的是同一款被污染的运维软件。

说到底，web安全是一场没有终点的猫鼠游戏。安全人员追着漏洞跑，漏洞追着业务跑，业务追着市场跑。想靠一套方案永绝后患，那是做梦。我现在的习惯是：每次写代码都默认输入不可信，每次上线前都做一次威胁建模，每次安全通告出来先看影响范围再决定要不要熬夜打补丁。有人嫌麻烦，但被勒索病毒叫醒过的人都知道——那点麻烦，比凌晨三点的报警电话温柔多了。