某本地生鲜电商公司近期上线了自主开发的小程序与官网，用户量快速增长，但突然有一天客服接到大量投诉：部分用户账户被异常登录，订单数据被篡改，后台管理系统甚至出现乱码。技术负责人紧急排查后发现，数据库遭遇了SQL注入攻击，网站评论区则被植入了XSS脚本——这是许多中小企业在快速扩张中容易忽略的安全隐患。
中小企业面临的SQL注入与XSS攻击场景分析
SQL注入的典型场景
中小企业在小程序开发或网站开发时，常因快速上线需求简化安全验证。例如该生鲜公司的小程序商品搜索功能，未对用户输入的关键词进行过滤，攻击者输入“' OR '1'='1”后直接获取了所有用户的手机号与地址信息；官网登录界面的用户名输入框未做参数化处理，导致数据库被拖库，核心业务数据泄露。
XSS攻击的典型场景
XSS攻击则更隐蔽：攻击者在生鲜公司官网的用户评论区发布含恶意脚本的评论，其他用户浏览时脚本自动执行，窃取用户cookie信息并跳转到钓鱼网站。此外，小程序的消息推送模块因未对内容做HTML转义，导致部分用户收到含脚本的推送消息，手机端出现异常弹窗。
SQL注入与XSS攻击的快速排查方法
日志审计与漏洞扫描
中小企业可利用开源工具如OWASP ZAP进行漏洞扫描，快速定位小程序和网站中的输入点漏洞；同时审计服务器日志，重点关注包含“UNION”“DROP”等关键词的异常SQL请求，以及含“<script>”标签的脚本请求。该生鲜公司正是通过日志发现了大量来自异常IP的恶意查询。
用户行为异常监测
通过后台分析用户行为数据，如短时间内大量失败登录尝试、异常的订单金额修改、高频次的数据库查询操作等，可及时发现攻击迹象。例如该公司发现某账户在10分钟内尝试登录200次，立即冻结账户并排查根源。
中小企业可落地的修复与加固方案
代码层面的安全加固
针对SQL注入，需采用参数化查询（PreparedStatement）替代直接拼接SQL语句；在小程序开发中，对所有用户输入进行白名单过滤，限制输入长度与字符类型。针对XSS攻击，需对输出内容做HTML转义，如将“<”替换为“<”，同时禁用用户输入中的脚本标签。选择具备安全编码能力的软件开发公司，可从源头减少漏洞。
配置层面的防护措施
部署Web应用防火墙（WAF）拦截恶意请求；限制数据库账户权限，如小程序后台数据库用户仅授予查询权限，禁止删除或修改操作；设置cookie的HttpOnly属性，防止XSS攻击窃取用户凭证。该生鲜公司通过配置WAF后，恶意请求拦截率提升至95%以上。