陷阱 #6:引入注入类安全漏洞

这个坑长什么样

// SQL 注入(❌):把用户输入直接拼进查询
const q = "SELECT * FROM users WHERE name = '" + userInput + "'";
// 用户输入 ' OR '1'='1  →  查询变成"返回所有用户",密码全泄露

// XSS(❌):把用户输入直接塞进网页
element.innerHTML = userInput;
// 用户输入一段 <img src=x onerror="恶意代码">  →  图片加载失败触发 onerror,在别人浏览器里执行恶意脚本
// (注:直接塞 <script> 标签经 innerHTML 并不会自动执行,真实攻击多走 onerror/onclick 这类事件)

亲眼看注入怎么发生:下面把用户输入直接拼进 SQL 查询。正常用户没问题;但当用户输入 ' OR '1'='1 时,运行看看拼出来的查询变成了什么——它不再是"查某个人",而是"返回所有人":

为什么会犯 & 怎么识别

• 为什么:直接拼接最简单、演示也能跑;AI 默认走了"能用"的捷径,没考虑恶意输入
• 识别信号:看到用户输入被字符串拼接进 SQL、命令、HTML;没有"参数化""转义""校验"的影子

怎么防

• 永远不要信任用户输入:一切外部输入都当"可能是恶意的"
• 用安全的方式:数据库用参数化查询(占位符),不手拼;往页面放内容用安全 API(避免 innerHTML 直插)
• 审查时专门问一句:"这里的用户输入,如果是恶意构造的,会发生什么?"

这段代码会接收用户输入。请检查并修改:1) 数据库操作改用参数化查询,不要字符串拼接;2) 输出到页面的内容做必要的转义,避免 XSS;3) 对输入做基本校验。改完请说明每处防的是什么攻击。

🔧 试一试:让它写段拼 SQL 或命令的代码(5 分钟)

让 AI 写一段根据用户输入查数据库、或拼一条 shell 命令的代码。

你会看到:它常常直接字符串拼接用户输入——经典的注入漏洞。

怎么防:要求参数化查询/转义;凡把用户输入拼进 SQL/命令/HTML 的地方都当高危审。