文章标签

应用安全

青智网络整理应用安全相关技术文章，覆盖AI开发、网站建设、SEO优化和网络安全等企业数字化实践。

SQL注入防护与复测：参数化、动态字段和权限

SQL注入来自不可信输入被拼成数据库语句的一部分。过滤引号或依赖WAF都不能代替安全查询实现，修复应覆盖每个数据输入与查询路径。

API安全需要同时判断调用者是谁、能访问哪些对象以及能消耗多少资源。网站或小程序隐藏按钮不能保护后端接口，知道订单编号也不代表有权查看订单。

敏感信息可能出现在配置、表单通知、日志、截图和备份中。先列出必须处理的数据，再限制收集、访问与保存，不能只给数据库加密就认为所有路径已保护。

CSRF利用用户已经登录的浏览器发起非本人意图的操作。防护重点是判断修改请求是否来自合法会话中的正确流程，不能只检查请求里有没有用户编号。

XSS风险发生在不可信内容进入可执行网页上下文时。留言、标题、文件名和后台富文本都需要考虑；删除某几个危险关键词并不是可靠防护。