web安全漏洞及代码审计

某个深夜，全漏一家电商平台的洞及代码订单库被拖走，黑客用的审计不是0day，而是全漏三年前就公开的SQL注入。安全团队翻遍日志，洞及代码最后在支付接口的审计代码里发现一行拼接SQL——参数没过滤，直接进了查询。全漏这不是洞及代码偶然，是审计每天都在发生的常态。

web漏洞的全漏本质，往往不是洞及代码黑客多聪明，而是审计开发者多粗心。拿最常见的全漏注入来说，本质就是洞及代码“数据”和“代码”没分家。你让用户输入的审计字符串变成了数据库执行的命令，就像把陌生人递来的纸条直接贴进法院判决书。修复方式也简单：预编译、参数化查询，一行代码的事。但为什么年年爆？因为业务赶工期，因为没人review，因为“先上线再说”。

代码审计就是干这个的——在漏洞被利用之前，把代码当犯罪现场翻一遍。不是等出了事才查，而是主动找那些“看起来没事”的隐患。比如文件上传功能，你光检查后缀名够吗？人家传个`.php`改成`.jpg`，再配合解析漏洞照样拿shell。审计时得看服务器配置、看中间件解析规则、看文件存储路径是否可执行。这种细节，不抠到极致就是漏洞。

XSS又是另一类典型。很多开发者以为过滤`