Web安全防护实战：从OWASP Top 10到现代应用安全

Web安全的威胁格局

Web应用是现代企业数字化的主要接口，也是攻击者最常利用的入口。OWASP Top 10列出了当前最危险的Web安全风险，包括身份认证失效、注入攻击、XSS跨站脚本、加密失败等。理解这些攻击机制是构建安全Web应用的第一步。

XSS跨站脚本攻击与防御

XSS通过注入恶意脚本在其他用户的浏览器中执行，分为反射型（URL参数直接嵌入）、存储型（持久化在数据库中被其他用户访问）和DOM型（前端JavaScript直接操作DOM时注入）。CSP（Content Security Policy）是现代浏览器提供的纵深防御机制，限制脚本来源和执行方式，即使业务代码存在XSS也无法加载第三方脚本。

CSRF与点击劫持

CSRF利用用户已登录状态，诱导访问恶意页面自动发起请求。防御措施包括：SameSite Cookie属性限制跨站携带、CSRF Token验证请求来源、以及自定义Header（fetch请求不会自动携带Cookie）。点击劫持通过iframe透明层覆盖诱导用户点击，X-Frame-Options和CSP frame-ancestors指令可以有效防御。

SQL注入与防御

SQL注入通过恶意输入篡改SQL语句语义。PDO预处理语句（Parameterized Queries）和ORM框架是根本性防御。最小权限原则限制数据库账号权限，即便被注入也不能DROP表或读取敏感数据。

认证与授权安全

OAuth 2.0+OIDC是现代身份管理的标准框架，但配置错误会导致严重漏洞（如state参数校验不严导致CSRF，PKCE缺失导致授权码截获）。密码存储必须使用bcrypt/Argon2/KDF，普通的MD5/SHA1已经被GPU秒破。JWT需注意密钥强度、签名算法验证（防止alg=none攻击）和Token过期策略。

API安全

RESTful API的安全要点：速率限制防止暴力破解、输入验证和Schema约束、输出序列化防止敏感信息泄露、以及mTLS服务间认证。API网关是统一实施安全策略的入口，提供限流、鉴权、IP黑白名单、WAF等功能。