SQL注入 数据库的隐形杀手
SQL注入是攻击者通过Web表单或者URL参数，把恶意SQL语句塞进你的数据库查询里。说白了就是你的SQL语句没做防护，攻击者可以直接操作你的数据库。拖库、删表、绕过登录，全靠这一招。
防护方案很简单：所有数据库查询都用预处理语句或者参数化查询。PDO的prepare加execute，或者MySQLi的bind_param。这一步做了，SQL注入基本就防住了。别用字符串拼接写SQL，那是给攻击者留门。
XSS攻击 让你的网站变成攻击者的工具
XSS全称跨站脚本攻击，攻击者把恶意JavaScript代码注入到你的网页里，其他用户访问的时候这段脚本就会执行。盗取Cookie、劫持会话、钓鱼欺骗，都是XSS的常见玩法。
XSS分三种：反射型、存储型、DOM型。最危险的是存储型，因为恶意代码存在你的数据库里，每个访问页面的用户都会中招。防护方案：所有用户输入的内容都要做HTML转义，输出的时候也要转义。PHP的htmlspecialchars、Python的markupsafe.escape，都是干这个的。
再配一个CSP也就是Content Security Policy响应头，限制页面只能加载指定来源的脚本，即便被注入了XSS代码也执行不了。这是多一层保险。
CC攻击 专门打你的Web服务
CC攻击是攻击者控制大量肉鸡，模拟真实用户频繁请求你网站上最耗资源的页面，把你的Web服务器拖垮。跟DDoS不同的是，CC攻击流量不大但请求很精准，专门挑你数据库查询最复杂的页面打。
中原区一家做电商的公司遭遇过一次CC攻击。攻击者反复请求搜索接口，每次搜索都触发全表扫描，200个肉鸡同时请求，5分钟内数据库连接数就爆了。网站直接503返回不了内容。
防护方案：第一，给搜索接口加缓存，同一个关键词5分钟内只查一次数据库。第二，限制单IP请求频率，超过阈值返回429或者弹验证码。第三，用WAF的CC防护功能，自动识别异常请求模式并拦截。第四，数据库层面做好索引优化，别让一个搜索请求就能打满CPU。
文件上传漏洞 最容易被忽视
很多网站都有文件上传功能：头像上传、附件上传、图片上传。如果这个功能没做好防护，攻击者可以上传一个伪装成图片的PHP文件，然后通过URL直接执行这个文件，瞬间拿到webshell。
常见绕过手法：改后缀名比如shell.php.jpg、利用解析漏洞、修改Content-Type、在图片文件尾部嵌入PHP代码。防护方案：白名单验证文件后缀，检查文件头魔数（不是看后缀名而是看文件实际类型），上传目录禁止执行PHP，上传的文件重命名存储。
别被忽悠了，只检查后缀名的上传验证跟没有一样。攻击者绕过后缀检查的方法至少有十几种，你一个if判断挡不住。
暴力破解 最笨但最有效的攻击
暴力破解就是攻击者用字典跑你的后台登录、FTP密码、数据库密码。虽然方法原始，但命中率出奇地高，因为太多人用弱密码了。123456、admin888、公司名加年份这种密码，字典里都有。
防护方案：第一，密码复杂度策略，至少8位包含大小写字母数字特殊字符。第二，登录失败次数限制，5次失败锁定15分钟。第三，开启验证码或者二次验证。第四，SSH禁止密码登录只允许密钥认证。第五，后台管理加IP白名单，非工作IP访问不了后台。
这五种攻击覆盖了90%以上的Web安全威胁。把每种攻击的防护方案都落实了，你的网站安全性就能超过郑州80%的企业网站。安全这件事不怕做不到就怕不当回事，等你被攻击了才想起来做防护，损失已经产生了。