某天，有个小网站被黑了。

网站是个本地论坛，老板是个四十多岁的大哥，服务器是租的，代码是外包写的。他找到我的时候，一脸懵：我这儿又没得罪人，怎么就被黑了？

我看了下服务器日志，问他：你这网站，登录框是不是能输入特殊字符？

他说：能啊，谁都输入。

我给他演示了一遍：在用户名栏输入一个引号，一个注释符——页面立刻报错，数据库错误信息直接打在屏幕上。

他看到那行报错，问我：这是什么意思？

我说：意思是你网站的数据库，被这个小小的引号「撬开」了。

这叫SQL注入。黑客在输入框里输入的不是正常内容，而是SQL代码。如果网站没有过滤输入，数据库就会把黑客的代码当成自己的指令执行。

黑客只需要输入一行：' OR '1'='1，就能绕过密码验证，直接以管理员身份登录。

更狠一点的，用union查询，把整个数据库的内容拖出来：用户名、密码、手机号、身份证号……全部打包带走。

这个论坛的数据库里，有五万多个用户的注册信息。黑客打包拖走了，挂到暗网上卖。

大哥听完，脸都绿了：那怎么办？

我说：修。

修的过程其实不复杂：所有用户输入，都要经过参数化查询——让数据库把输入当「数据」处理，而不是当「代码」执行。再给数据库加上权限限制，就算被注入，也拖不走全部数据。

我还给他加了一面「防火墙」：网站前端限制输入长度和特殊字符，后端记录所有可疑请求，一旦检测到注入特征，直接封IP。

修完那天，大哥问我：你说黑客为啥非要黑我这小破论坛？

我说：不是因为你有钱，是因为你「好黑」。黑客全网扫，找的就是你这种没设防的。你网站的数据库，就像没上锁的仓库，路过的人都能推门进去看看。

他若有所思地点了点头。

半个月后，他给我打电话，语气很兴奋：兄弟！今天防火墙拦了三百多个注入攻击！

我说：看吧。不是没人惦记你，是你以前不知道。

他问我：那我现在安全了吗？

我说：安全是相对的。你今天堵住了这个洞，明天还有新的洞。安全不是一锤子买卖，是每天都要做的事。

他沉默了一下，说：行，那我每天来看看日志。

后来他真的每天看日志。一个四十多岁的大哥，愣是学会了看防火墙告警。

他说：这玩意儿看着看着，就上瘾了。