日常编码中，一些不经意的写法可能埋下严重的安全隐患。这篇内容通过三个典型实例，生动揭示了目录遍历、SQL注入和XSS攻击的原理，帮助开发者在代码层面识别并防范这些常见风险，养成更安全的编码习惯。
智能速览
目录遍历攻击能让攻击者绕过限制，读取服务器上的敏感文件。
SQL注入通过构造特殊输入，可篡改数据库查询逻辑，窃取全部数据。
XSS攻击将恶意脚本注入网页，在用户浏览器中执行以窃取信息。
这些漏洞的共同根源在于代码过度信任并直接使用了未经验证的用户输入。
内容通过真实代码演示，让抽象的安全威胁变得直观易懂。
精华内容
许多安全漏洞的根源，往往在于代码对用户输入的“天真”信任。接下来，通过三个具体场景，看看这些看似无害的代码是如何成为攻击者的突破口。
目录遍历漏洞
设想一个提供图片访问的API，它通过查询参数`img`来接收文件名，然后在服务器上拼接完整路径（如`/app/images/`）并返回文件内容。这种写法存在巨大风险。攻击者可不传`something.png`，而是传入类似`…/…/etc/passwd`的字符串。路径拼接后变成`/app/images/…/…/etc/passwd`，最终定位到服务器的`/etc/passwd`文件。服务器便会将包含系统账户信息的敏感文件直接返回给攻击者，导致核心配置泄露。
SQL注入攻击
登录功能是另一个重灾区。后端代码若直接将用户输入拼接到SQL查询语句中，例如`SELECT * FROM Users WHERE email=‘输入的邮箱’ AND password=‘输入的密码’`，攻击者便可构造恶意输入。在密码字段输入`’ OR 1=1#`，拼接后的查询语句变为`SELECT * FROM Users WHERE email=‘…’ AND password=‘’ OR 1=1#'`。单引号闭合了原密码字段，`#`注释了后续内容，而`OR 1=1`这个永真条件使得查询无需正确密码即可返回用户表中的所有数据，从而轻松绕过身份验证。
XSS跨站脚本
在聊天或评论场景中，如果系统将用户输入内容未经处理直接存入数据库，之后再原样渲染到HTML页面上，就会产生XSS漏洞。攻击者可以输入``这样的恶意脚本。当其他用户访问该页面时，浏览器会误认为这段脚本是可信的页面组成部分并执行它，导致用户的Cookie等敏感信息被窃取。视频演示了用`
