打开DVWA，入攻把安全级别调到Low。击实我盯着那个ID输入框，入攻知道里面藏着最简单的击实SQL注入漏洞。输入1' AND '1'='1，入攻回车。击实页面照常返回了用户记录，入攻像什么都没发生。击实但当我输入1' OR '1'='1，入攻整张users表的击实数据哗啦啦全出来了。这感觉就像你发现邻居家的入攻门没锁，轻轻一推就开了。击实

Low级别的入攻防护几乎为零。代码里直接拼接了"SELECT first_name,击实 last_name FROM users WHERE user_id = '$id'"，没有过滤，入攻没有转义，没有参数化查询。我甚至不需要什么工具，浏览器地址栏就够了。输入' UNION SELECT user, password FROM users#，密码哈希直接躺在结果里。DVWA的密码用的是MD5，拿去过个彩虹表，admin的密码就变成了"password"。

把级别调到Medium，情况开始有意思了。这次代码用了mysqli_real_escape_string()，单引号会被转义。但开发者犯了个典型错误——只处理了GET参数，没管POST。我抓包把请求改成POST方式，id=1' UNION SELECT user, password FROM users#照样生效。转义函数拦住了部分攻击，却拦不住所有攻击面。这就像你锁了前门，后门却敞着。

High级别终于用了预处理语句。参数化查询把数据和代码彻底分开，我试了各种payload，1' AND SLEEP(5)#，页面毫无延迟；1' UNION SELECT @@version#，报错信息干干净净。这次是真的堵住了。但现实世界没这么简单——我见过不少号称用了预处理，却在拼接表名、列名时重新引入注入点的案例。预处理不是银弹，它保护的是值，不是结构。

整个实验下来，最让我后背发凉的不是技术本身，而是这背后的思维模式。Low级别的代码像刚学编程的学生写的，Medium像是赶工期的外包项目，High才是稍微有点安全意识的人做的。但就算High级别，DVWA也故意留了后门——比如那个登录页面的SQL注入，用的是完全不同的代码路径。真实系统里，漏洞往往藏在最不起眼的角落，比如一个导出Excel的功能，一个忘记加权限控制的调试接口。

我关掉浏览器，喝了口已经凉掉的咖啡。SQL注入从1998年就被公开讨论，到现在还是OWASP Top 10的常客。DVWA只是个练习场，但每次做这个实验，我都觉得它像一面镜子——照出的是开发者对数据信任的盲目，是安全意识和实际编码之间的鸿沟，是我们总以为"这不会发生在我身上"的侥幸。你输入的那一串字符，不是代码，是对系统信任的试探。而多数情况下，系统经不起试探。