2017年，漏洞注入Equifax被拖走了1.47亿人的漏洞注入信用数据。事后复盘，漏洞注入攻击者没用什么零日漏洞，漏洞注入入口是漏洞注入一个早就该打补丁的Apache Struts组件。补丁放出来两个月了，漏洞注入没人装。漏洞注入就这么简单，漏洞注入也就这么致命。漏洞注入

这就是漏洞注入漏洞注入的底层逻辑——攻防双方在同一个系统里赛跑，只不过防守方经常在打盹。漏洞注入所谓“注入”，漏洞注入往轻了说是漏洞注入把恶意代码塞进正常流程里，往重了说，漏洞注入是漏洞注入让系统自己把刀子递到攻击者手上。

一个输入框能捅多大篓子

SQL注入是最老的把戏之一。原理朴素得让人发指：网站有个登录框，后端拼SQL语句时直接把用户输入的内容插进去。你输 ' OR 1=1 --，验证逻辑当场瘫痪。二十多年前的《Phrack》杂志就在讲这个，到现在OWASP Top 10里SQL注入依然在榜。

为什么？因为开发者在赶工期。拼字符串比写参数化查询快，快五分钟，可能埋一个能拖库的洞。我见过一个电商后台，搜索框没做任何过滤，安全测试时用sqlmap跑了不到三分钟，订单表、用户表、支付记录全出来了。负责那个模块的哥们儿后来跟我说，他当时觉得“内部系统没人会攻击”。

XSS：注入的不只是代码，是信任

跨站脚本攻击更阴。它不直接偷数据库，它偷的是用户的信任。你在一个论坛发帖，内容里嵌一段 <script>，其他用户打开帖子，脚本就在他们浏览器里执行了。Cookie被拿走，会话被劫持，攻击者用你的身份做任何事。

存储型XSS最恶心的地方在于持久化。一个帖子发出去，每个访问者都中招，像流感。2015年，一个叫“Myspace Samy”的蠕虫在MySpace上20小时感染了100万用户，靠的就是XSS。代码本身不复杂，传播速度才是恐怖之处。

防御不是加一层壳

很多人觉得装个WAF（Web应用防火墙）就安全了。WAF确实能拦掉大部分自动化扫描，但绕WAF的手法比漏洞本身还多。编码变形、分块传输、注释混淆——攻击者有的是耐心。真正管用的还是代码层面的事：参数化查询、输入验证、输出编码、最小权限原则。老生常谈，但每一条背后都是血淋淋的案例。

还有个容易被忽略的点：依赖注入。不是Spring那个DI，是供应链层面的。你引用的npm包、pip包、Maven依赖，任何一个被投毒，整个应用就沦陷。2021年的Log4Shell，一个日志库的JNDI注入，波及全球半数Java应用。你写业务代码再小心，架不住底层组件给你开个后门。

注入不会消失

只要系统还需要接收外部输入，注入类漏洞就有生存空间。AI写代码也一样——你让Copilot生成一段数据库操作，它可能给你拼字符串。工具在进化，人的惰性没变。防御的核心从来不是某个银弹产品，是开发者在敲下回车前多想一秒：这个输入，我信得过吗？

多想一秒，可能就少一个洞。