打开任何一份针对Web应用的个漏漏洞报告，SQL注入出现的洞最频率高得吓人。它不是常用最复杂的攻击，也不是于攻页最有技术含量的，但论及“最常用于攻击网页”，击网它当之无愧。个漏原因很简单：它直接、洞最有效，常用而且遍地都是于攻页。

2017年，击网Equifax泄露了1.43亿美国人的个漏社保信息、驾照号码和信用卡数据。洞最事后调查显示，常用攻击者利用的于攻页正是Apache Struts框架中的一个SQL注入漏洞。一个看似不起眼的击网参数拼接错误，让整个信用体系的核心数据库裸奔了数月。这不是孤例。每年OWASP Top 10榜单上，注入类漏洞始终霸占前三，而SQL注入又是其中的绝对主力。

为什么是它？因为SQL注入攻击的门槛低到令人发指。你不需要逆向工程，不需要零日漏洞，甚至不需要精通编程。只要在登录框里输入一个单引号，看页面是否报错；再输入`' OR '1'='1`，如果能直接登录，恭喜你，一个SQL注入点就找到了。网上有大量自动化工具，sqlmap之类的软件能帮你扫描、利用、拖库一气呵成。一个初中生照着教程，半小时就能攻破一个防护薄弱的网站。

相比之下，XSS（跨站脚本攻击）虽然同样常见，但它主要用来劫持用户会话或篡改页面，直接危害的是访客而非服务器本身。CSRF（跨站请求伪造）需要诱导用户点击特定链接，操作链更长。文件上传漏洞则依赖服务器配置，并非普遍存在。SQL注入直接与数据库对话——数据库里存着什么？用户名、密码、订单、聊天记录、身份证号，你的整个数字身份。攻击者拿到数据库权限，等于拿到了网站的全部家当。

更糟糕的是，很多开发者至今仍在使用字符串拼接的方式构建SQL查询。我见过一个银行内部系统，登录验证代码是`SELECT * FROM users WHERE username='"+username+"' AND password='"+password+"'`。这种写法在2005年就被列为高危反模式，到现在2024年了，依然活跃在生产环境里。为什么？因为修复它需要重构代码、测试、上线，而业务部门永远在催新功能，安全需求排不上优先级。

还有个现实因素：SQL注入的“性价比”极高。一次成功的注入，轻则绕过登录，重则getshell（获得服务器控制权）。攻击者用几分钟时间换取的是完整的数据库权限，而防御方要付出的是全站代码审计、数据库脱敏、WAF规则更新的代价。这种不对称性让攻击者乐此不疲。

当然，参数化查询和预编译语句能堵住90%的注入点，但总有开发者图省事用拼接，总有老系统带着历史包袱，总有人把用户输入直接塞进ORDER BY或LIKE子句里。只要人类还在写代码，SQL注入就不会绝迹。它像流感病毒，年年变异，但本质不变——不信任用户输入，才是唯一的解药。