web安全主要分为以下几个方面

一个周末下午，全主我朋友的分为方面公司官网被挂上了赌博广告。技术人员查了一整天，全主最后发现是分为方面后台登录口令还是“admin123”。这事儿听着荒唐，全主但在中小网站里，分为方面这种入口比想象中更脆弱。全主web安全不是分为方面抽象的概念，它拆开来看，全主就是分为方面几个具体的战场。

第一块：注入攻击，全主尤其是分为方面SQL注入

老式攻击手法了，但至今没绝迹。全主攻击者在输入框里塞一段数据库查询语句，分为方面比如在用户名栏输入 ' OR '1'='1，全主如果后端没做参数化查询，数据库就可能把整个用户表吐出来。2017年Equifax泄露1.4亿用户数据，就是Apache Struts的漏洞被利用，本质上也属于类似逻辑缺陷。防御手段不复杂：预编译语句、严格过滤输入、最小权限数据库账号。但很多开发图省事，直接拼字符串，等于把家门钥匙挂在锁孔上。

第二块：跨站脚本（XSS）

这种攻击不直接打服务器，而是打用户。攻击者把恶意脚本藏在评论、私信或URL参数里，其他用户一访问，脚本就在浏览器里执行——偷cookie、伪造操作、劫持会话。我见过一个论坛，发帖标题里嵌了段JavaScript，管理员一审核，会话就被偷了。XSS分反射型、存储型和DOM型，存储型最危险，因为每个人都会中招。治本的方法是输出编码，把<script>变成无害文本，同时设置HttpOnly cookie，让脚本摸不到会话凭证。

第三块：跨站请求伪造（CSRF）

这招更阴。你登录了银行网站，然后不小心点开一个恶意链接，那个链接里的图片请求可能就带着你的cookie去转账了。浏览器会自动带上cookie，服务器根本分不清请求是用户点的还是脚本造的。防御思路就一条：验证请求来源——加随机token，或者检查Referer头。但有些框架默认关闭防护，开发者又不知道，等于裸奔。

第四块：文件上传漏洞

很多网站允许用户传头像、传附件，但没检查文件内容。攻击者传个.php或.jsp的webshell上去，服务器就被控了。2019年某云厂商的存储桶配置错误，导致大量用户文件可写，就是活例子。正确做法是白名单校验扩展名、检查MIME类型、重命名文件、隔离存储目录、禁止执行权限。少一步，都可能留后门。

第五块：身份认证与会话管理

密码暴力破解、session固定攻击、cookie未加密——这些都属于这范畴。最典型的低级错误是没做登录失败次数限制，攻击者拿字典无限试。还有些网站退出登录后，session不销毁，别人用旧cookie还能进。更别提那些把用户密码明文存数据库的，一泄露就是连锁灾难。多因素认证和强制密码策略能挡掉大部分脚本小子，但真正靠谱的是服务端逻辑严谨，别把信任交给客户端。

这几块不是孤立的。一个上传漏洞可能配合CSRF打组合拳，XSS也可能用来窃取管理员session。安全是木桶效应，最短那块板决定你能扛住谁。与其追新漏洞，不如先把这些基础面补扎实。