SQL注入还是目前面排在第一位的。去年某地政务系统被拖库，安全起因就是主分一个没做参数化的查询接口。攻击者用 ' OR 1=1 -- 这种老掉牙的为下payload，硬是个方把整张用户表读了出来。这事听起来像2010年的目前面新闻，但它就发生在2023年。安全预编译语句能挡住九成以上的主分注入，可总有人图省事直接拼SQL。为下

XSS（跨站脚本）分三类：存储型、个方反射型、目前面DOM型。安全存储型最要命——攻击者把恶意脚本塞进评论区，主分每个访问该页面的为下用户都会中招。反射型需要诱导点击，个方DOM型完全在浏览器端发生，服务端日志里干干净净。我见过一个电商站，搜索框直接把用户输入回显到页面，连 alert(1) 都能弹。修复方式无非是输出编码加CSP头，但开发往往等到被挂马才想起来。

CSRF（跨站请求伪造）这两年讨论度降了，因为SameSite Cookie默认值变严了。可老系统还在用 SameSite=None，攻击者伪造个转账请求，用户只要登录着银行，钱就出去了。防御手段是加CSRF Token，或者校验Origin头。有个细节：Token必须绑定用户会话，不能全局复用，否则等于没加。

文件上传漏洞的破坏力被低估了。上传个.php文件，如果服务器没做白名单校验，直接就能getshell。更隐蔽的是图片马——把PHP代码嵌在JPG的EXIF里，配合本地文件包含漏洞执行。我试过用 GIF89a 头绕过检测，很多WAF只查文件头，不查内容。正确做法是：存到非Web目录、重命名、限制后缀、用随机文件名。

SSRF（服务端请求伪造）在云环境下特别危险。攻击者让服务器去请求 http://169.254.169.254/latest/meta-data/，就能拿到AWS的临时凭证。去年Capital One那起泄露，根因就是SSRF加WAF配置错误。防御要限制协议（只允许HTTP/HTTPS）、禁止内网IP、关闭重定向跟随。别指望黑名单， http://0x7f.0.0.1 这种变形能绕晕你。

越权访问分水平越权和垂直越权。水平越权是用户A能看用户B的订单，改个ID就行。垂直越权是普通用户能调管理员接口。很多API只在前端隐藏按钮，后端根本没校验权限。我测过一个系统，把 /api/user/123 改成 /api/user/124 就能读到别人手机号。修复靠RBAC加数据归属校验，每一步操作都得确认“这个资源属于当前用户吗”。

反序列化漏洞在Java生态里尤其多。Fastjson、Jackson这些库出过好几次RCE。攻击者构造恶意JSON，触发 @type 自动加载类，执行任意命令。根本解法是别反序列化不可信数据，或者用白名单限制类。但业务代码里 JSON.parseObject(input) 到处都是，改起来头疼。

业务逻辑漏洞最考验人。比如密码重置时，验证码返回在响应包里；或者优惠券可以无限领，因为没做并发锁。这类问题扫描器扫不出来，全靠手工测。我见过一个抽奖系统，前端算概率，后端只记录结果——抓包改个参数就能必中。安全不能只靠工具，得理解业务流。

供应链安全越来越关键。Log4j2那个漏洞（CVE-2021-44228）让多少公司连夜加班。你写的代码没问题，但依赖的第三方库爆了。现在得用SCA工具扫依赖，还得看SBOM。可现实是，很多团队连 npm audit 都不跑。开源组件省了时间，也埋了雷。

这些分类不是孤立的。一个上传点可能结合路径穿越，一个SSRF能打内网Redis写WebShell。攻击链往往是组合拳。防御也得纵深：WAF、RASP、代码审计、运行时监控，缺一不可。但最根本的，还是开发时把安全当回事——别等出了事再补。