2017年，漏理Equifax公司因一个未修补的洞原Apache Struts漏洞，泄露了1.43亿美国人的漏理社保号、驾照号和信用卡数据。洞原事后调查显示，漏理漏洞补丁在攻击发生前两个月就已发布，洞原但公司IT部门没人去应用它。漏理这起事件成了web安全领域最经典的洞原教科书案例——不是因为攻击手法多高明，而是漏理因为漏洞原理简单到令人窒息。

web漏洞的洞原本质，是漏理程序对用户输入的处理逻辑存在缺陷。你往一个预期接收“年龄”的洞原输入框里塞进一段SQL语句，如果后端没做过滤，漏理这段语句就可能被数据库执行。洞原这就是漏理SQL注入——最古老也最致命的web漏洞之一。它的原理并不复杂：程序把用户输入当成了代码的一部分来解析，而不是单纯的数据。1998年，一名黑客用这种手法入侵了美国国防部的多个网站，当时距离SQL注入概念被公开提出仅数月。

XSS跨站脚本攻击则走另一条路。攻击者把恶意脚本注入到网页中，当其他用户浏览该页面时，脚本就在他们的浏览器里执行。原理同样源于“输入与代码混淆”——页面把用户提交的内容当成了HTML或JavaScript来渲染。我曾见过一个电商网站，商品评价区没做转义处理，结果有人贴了段盗取cookie的脚本，管理员每次登录后台查看评论，账号就被偷一次。这种攻击不直接攻击服务器，而是攻击其他用户，传播性极强。

文件上传漏洞更直白。网站允许用户上传头像，却没检查文件内容，只看了扩展名。攻击者上传一个伪装成jpg的PHP文件，服务器解析时直接执行。2019年，某知名云盘服务就因这类漏洞，被人在服务器上拿到了webshell，整站数据被拖走。原理就是信任了不该信任的东西——程序相信了文件扩展名，却没验证文件真实内容。

逻辑漏洞则更隐蔽。它不涉及代码层面的技术缺陷，而是业务规则设计不周。比如某支付平台，用户下单后修改商品价格参数，后端没做金额校验，一分钱买走了iPhone。又比如某社交平台的密码找回功能，验证码校验逻辑存在竞态条件——攻击者快速发送多个请求，导致验证码在极短时间内失效，从而绕过验证。这类漏洞不需要高深技术，只需要对业务流程足够熟悉。

把视角拉远看，所有web漏洞都指向同一个核心问题：程序无法区分“数据”和“代码”的边界。SQL注入是把数据当SQL执行，XSS是把数据当HTML执行，文件上传是把文件当脚本执行，逻辑漏洞则是把预期外的数据当合法流程处理。这种边界混淆在web应用里无处不在，因为HTTP协议本身无状态，每次请求都携带大量参数，而开发者默认这些参数是可信的。

更麻烦的是，现代web应用架构越来越复杂——前端框架、API网关、微服务、数据库中间件，每一层都可能引入新的输入输出点，也意味着新的混淆边界。几年前我审计过一个金融应用，它的API网关做了完整的输入校验，但下游的某个内部服务却直接用原始请求头里的用户ID查询数据，网关的过滤形同虚设。这种“多层信任”的漏洞，比单点漏洞更难发现。

回到Equifax事件。那个Struts漏洞的原理，其实就是OGNL表达式注入——Struts框架把HTTP参数中的某些值当作OGNL表达式解析，攻击者构造特殊参数即可执行系统命令。补丁早已存在，但没人去升级。技术漏洞背后，往往是管理漏洞。web安全从来不只是技术问题，它关乎流程、意识和责任。你写下的每一行代码，都在为攻击者提供或关闭一扇门——而大多数时候，门是你自己亲手打开的。