前言
Web 开发看似简单，但许多团队在快速迭代中容易忽略一些基础安全实践。这些“常见错误”往往成为攻击者的突破口。本文基于实际项目经验，梳理了最频繁出现的问题，并给出可操作的修复建议。如果你正在寻找系统化的安全工程方法，可以查看我们的 Secure Web Engineering 知识中心 获取更多内容。
常见错误一：输入验证不足
很多开发者默认用户输入是安全的，或者只在前端做验证。实际上，后端必须对所有输入进行严格校验。例如，SQL 注入、XSS 攻击都源于未过滤的输入。
修复建议：
- 使用参数化查询或 ORM 防止 SQL 注入。
- 对输出进行编码，避免 XSS。
- 对文件上传限制类型和大小。
常见错误二：硬编码密钥与凭证
将 API 密钥、数据库密码写在代码仓库里是极其危险的做法。一旦仓库泄露，所有依赖的服务都会暴露。
修复建议：
- 使用环境变量或密钥管理服务（如 Vault）。
- 定期轮换密钥。
- 使用
.gitignore排除配置文件。
常见错误三：缺乏安全头与 HTTPS
很多站点仍使用 HTTP 或缺少 CSP、HSTS 等安全头，导致中间人攻击和数据泄露。
修复建议：
- 全站启用 HTTPS，配置 HSTS。
- 添加 Content-Security-Policy 头限制资源加载。
- 使用 X-Frame-Options 防止点击劫持。
安全工程检查清单（可操作步骤）
以下是我们团队在每个 Web 项目中使用的检查清单，可帮助你在上线前发现常见问题：
- 输入验证：所有输入点（表单、API、文件上传）均做后端校验。
- 输出编码：在 HTML、JavaScript、CSS 上下文中正确编码。
- 认证与会话：使用安全的密码哈希（bcrypt）、会话超时、CSRF 令牌。
- 密钥管理：无硬编码密钥，所有敏感信息从环境变量或密钥服务读取。
- 安全头：检查 CSP、HSTS、X-Frame-Options、X-Content-Type-Options 是否配置。
- 依赖安全：定期扫描第三方库漏洞，使用 SCA 工具。
- 日志与监控：记录关键操作，但避免记录敏感数据。
将此清单集成到 CI/CD 流程中，可大幅降低生产环境的安全事故。
总结
Web 开发的安全错误往往源于基础习惯。通过引入检查清单和自动化工具，团队可以在早期发现并修复问题。如果你需要更深入的安全工程支持，欢迎了解我们的 Web 开发服务。
常见问题
问：前端验证足够吗？ 答：不够。前端验证仅提升用户体验，后端必须独立验证所有输入，因为攻击者可以绕过前端。
问：如何避免硬编码密钥？ 答：使用环境变量或专门的密钥管理服务，并在代码审查中检查是否有明文密钥。
问：安全头配置复杂吗？ 答：不复杂。大多数 Web 框架提供中间件，只需几行配置即可启用 CSP、HSTS 等。