网页制作基础教程视频教程葛艳玲避坑指南：网站做好了没人访问？这4个安全漏洞你必须知道

网站做好了没人访问，这个问题其实90%都是安全防护没做好，尤其是新手做站，以为代码写得漂亮、页面设计好看，就万事大吉了。但别忘了，网站不仅要“能看”，更要“能用”“能防”，否则一上线就被黑、被挂马、被搜索引擎封杀，最后白白浪费时间和预算。今天这篇【网页制作基础教程视频教程葛艳玲避坑指南】，就从常见的网站安全漏洞入手，帮你从0到1构建安全防线。

威胁场景：你可能正在经历的网站安全问题

很多新手在网站刚上线时，都会遇到“被黑”或“被攻击”的情况。这些安全威胁通常来自以下几个场景：

1. SQL 注入攻击：攻击者通过在表单、URL 参数等地方插入恶意代码，绕过网站的登录验证，直接访问数据库。
2. XSS 跨站脚本攻击：用户输入的内容被注入恶意脚本，当其他用户访问页面时，这些脚本就会在他们浏览器中执行。
3. CSRF 跨站请求伪造：攻击者诱导用户在不知情的情况下，发送请求到你网站的后端接口，完成敏感操作，比如转账、改密码等。
4. 目录遍历漏洞：攻击者通过构造特殊路径，访问服务器上的敏感文件，比如/etc/passwd、.htaccess等。
5. 未加密传输数据：网站未使用HTTPS，用户账号密码、敏感信息在传输过程中被截获。

据中国互联网络信息中心（CNNIC）2023年发布的《网络安全防护白皮书》，超过60%的企业网站存在基础安全漏洞，而其中70%是由于开发人员对安全防护知识了解不足造成的。

漏洞原理：为什么你的网站会被黑？

SQL 注入原理

SQL 注入的原理很简单，就是利用用户输入的未过滤内容，拼接成恶意 SQL 查询语句，从而达到绕过登录、读取数据甚至删除数据库的目的。

比如，用户登录时，系统用如下代码获取用户输入的用户名和密码：

$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

如果用户输入的是：

username: admin' --
password: 任意

那么实际执行的 SQL 语句就会变成：

SELECT * FROM users WHERE username = 'admin' -- AND password = '任意'

这里使用了 SQL 注释符 --，导致后面的 AND password = '任意' 被忽略，用户可以直接登录为管理员。

XSS 跨站脚本攻击原理

XSS 攻击的原理是利用网站未过滤的用户输入内容，注入恶意脚本。例如：

<div id="user-comment"><?php echo $_GET['comment']; ?></div>

如果用户输入：

<script>alert('XSS');</script>

那么页面上就会显示一个弹窗，更严重的攻击可以劫持用户会话、盗取 cookie，甚至控制用户浏览器。

防护方案：代码层面的加固措施

防止 SQL 注入：使用预编译语句

在 PHP 中，使用 PDO（PHP Data Objects）或 MySQLi 预编译语句，可以有效防止 SQL 注入攻击。

错误写法：

$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

正确写法：

$username = $_POST['username'];
$password = $_POST['password'];// 使用PDO预编译
$pdo = new PDO("mysql:host=localhost;dbname=test", "root", "password");
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

说明： 使用 bindParam 或 bindValue 方法，可以确保输入值被当作参数处理，而不是直接拼接 SQL，从而杜绝注入风险。

防止 XSS 跨站脚本攻击：对用户输入内容进行转义

在输出用户输入内容时，使用 htmlspecialchars() 函数，将特殊字符转义为 HTML 实体，防止脚本执行。

错误写法：

echo $_GET['comment'];

正确写法：

echo htmlspecialchars($_GET['comment'], ENT_QUOTES, 'UTF-8');

防止 CSRF 跨站请求伪造：使用 Token 验证

CSRF 攻击的关键在于用户的浏览器会自动携带 cookie，攻击者诱导用户点击一个恶意链接，从而完成敏感操作。使用 Token 验证可以有效防御。

前端页面生成 Token：

session_start();
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

HTML 表单中插入 Token：

<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">

后端验证 Token：

if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {die('非法请求');
}

防止目录遍历漏洞：限制访问路径

攻击者可能通过构造路径访问敏感文件，例如：

http://example.com/include/../etc/passwd

为防止这种情况，应该限制访问路径，避免使用 ../ 形式的路径。

错误写法：

$file = $_GET['file'];
include($file);

正确写法：

$allowed_files = ['index.php', 'about.php', 'contact.php'];
$file = $_GET['file'];if (in_array($file, $allowed_files)) {include($file);
} else {die('非法访问');
}

加密传输：强制使用 HTTPS

网站未使用 HTTPS，数据传输过程中容易被中间人窃取。为避免这种情况，建议强制使用 HTTPS，并设置 HTTP 重定向到 HTTPS。

Nginx 配置示例：

server {listen 80;server_name example.com;# 强制重定向到 HTTPSreturn 301 https://$host$request_uri;
}

Apache 配置示例：

<IfModule mod_rewrite.c>RewriteEngine OnRewriteCond %{HTTPS} offRewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

检测与修复：如何发现并修复漏洞？

漏洞扫描工具

使用漏洞扫描工具，可以快速发现网站中的安全问题。以下是一些常用的工具：

• OWASP ZAP：开源、免费，适合新手使用。
• Nessus：商业工具，功能强大，适合企业级使用。
• Acunetix：支持自动扫描和修复建议。
• Burp Suite：常用于渗透测试，支持手动与自动扫描。

使用 OWASP ZAP 扫描网站：

1. 下载并安装 OWASP ZAP。
2. 打开 ZAP，点击“Spider”标签，输入网站地址。
3. 点击“Scan”按钮，开始扫描漏洞。
4. 扫描完成后，查看“Alerts”标签，查看发现的漏洞。

手动检测 SQL 注入漏洞

1. 在登录页面，输入如下用户名和密码：
   • 用户名：admin' --
   • 密码：任意
2. 如果可以成功登录，说明存在 SQL 注入漏洞。

手动检测 XSS 漏洞

1. 在评论页面，输入如下内容：
   • <script>alert('XSS');</script>
2. 如果页面上弹出了一个窗口，说明存在 XSS 漏洞。

修复建议

• 输入过滤与转义：对所有用户输入内容进行过滤，输出时进行转义。
• 使用安全框架：如 Laravel、Django、Spring Security 等，内置了很多安全防护机制。
• 启用 HTTPS：为网站配置 SSL 证书，强制使用 HTTPS。
• 定期扫描与更新：使用漏洞扫描工具定期扫描网站，修复发现的漏洞。
• 设置防火墙规则：限制访问频率，防止暴力破解和 DDoS 攻击。

安全加固清单：网站上线前必须完成的检查

网站上线前，一定要完成以下安全加固工作：

你的网站用的什么技术栈？评论区聊聊