去年秋天，模拟模板一个朋友把某电商后台的黑客登录页发给我，说“你试试能不能进去”。网站我没用任何漏洞扫描器，入侵只是模拟模板打开浏览器控制台，把``里的黑客值改成了空字符串，然后提交。网站页面没报错，入侵直接跳进了管理后台。模拟模板漏洞存在了三年，黑客厂商的网站“安全团队”每月出一份PDF报告，写着“系统固若金汤”。入侵

这就是模拟模板大多数所谓“黑客入侵”的真相——不是电影里那种绿色代码雨，而是黑客某个程序员忘了在服务端校验一个参数。我写这些模板，网站不是为了教人搞破坏，而是想让你看清：那些被吹上天的“网络安全”，往往连最基础的逻辑都守不住。

先看一个最普通的SQL注入点。假设有个商品详情页，URL长这样：`/product?id=123`。你在后面加个单引号，`/product?id=123'`，如果页面返回MySQL错误，说明后端直接把id拼进了查询语句。这时候你不需要什么高级工具，浏览器地址栏就是武器。输入`/product?id=123 union select 1,2,3--`，页面原本显示商品名的地方变成了“2”。继续换成`union select 1,user(),database()--`，数据库用户名和库名就挂在页面上。整个过程不到两分钟，比注册账号还快。

XSS更简单。很多网站允许用户发评论，但把`