安全知识库发布于 2026-10-03

SQL 注入与 XSS：为什么同一套过滤规则不够用

按数据库查询与浏览器渲染两种上下文理解注入风险，把修复放到真正处理数据的位置。

本文目录

数据跨越了不同的解释边界

OWASP Top 10:2025 的 A05 关注注入风险。SQL 注入发生在数据被当作查询结构处理时，XSS 则涉及不可信内容在浏览器上下文中被当成可执行内容。两者都与输入有关，但数据库参数绑定与页面输出编码解决的是不同问题。

数据库访问应优先使用参数化查询；必须动态选择字段或排序方式时，将其映射到明确允许的选项。数据库账号只授予业务所需权限，并检查后台导出和批量处理是否绕过统一访问层。使用 ORM 并不自动保证所有原生查询安全。

页面文本、属性、URL 和脚本上下文需要不同处理方式。富文本场景使用适合业务的安全净化方案，并审查前端直接写入 HTML 的位置。内容安全策略可作为补充，不能代替正确编码；简单删除几个关键词也无法覆盖所有上下文。

在自有测试环境覆盖搜索、评论、昵称、导出及管理员查看页面，既检查边界输入，也验证合法富文本没有被破坏。WAF 可帮助识别其支持的异常请求；应用仍应修正查询和渲染逻辑，避免规则一撤销风险就重新出现。