从代码层面堵住漏洞：开发者该知道的几件事

大部分漏洞，都是「信任用户输入」惹的祸

SQL注入、XSS、命令执行，追根溯源都是同一件事：代码把用户传来的数据当成了可信内容。修复方式也不复杂——永远不信任输入，永远校验、转义、参数化。

参数化查询能干掉绝大多数SQL注入。别再用字符串拼接SQL，ORM或者预处理语句是底线。输出到HTML时统一转义，别让用户提交的脚本在别人浏览器里跑起来。

依赖包才是最大的隐形攻击面

现代Web项目动辄几百个依赖，一个冷门库爆出漏洞，整站跟着遭殃。养成几个习惯：锁定版本、定期跑依赖扫描、上线前清理没用到的包。npm audit、composer audit这类工具花几分钟跑一遍，能省掉后面几天的应急。

• 生产环境不要装dev依赖
• 关注依赖库的安全公告，别等推送
• 能自己写的小功能，别引入一个庞大框架

权限和日志，出事时的救命绳

数据库账号别用root，Web目录别给写权限，上传目录别给执行权限。这三条能挡住大量「上传webshell然后提权」的剧本。日志要记全：登录、异常请求、文件改动。真被入侵了，日志是唯一能还原时间线的证据。

代码层的安全做好了，服务器层才有意义。如果业务跑在海外，一台稳定的物理服务器能让排查过程少很多干扰。像西雅图物理服务器13，AMD EPYC 7542双路、128G内存、100M带宽，月付699美元，适合需要跑日志分析、多站点隔离的团队。

安全开发不是加需求，是减风险

把校验、转义、权限控制写进代码规范，比事后打补丁便宜太多。开发者多花十分钟，运维少熬一个通宵。这件事没有捷径，但有习惯。