锦州公司做防注入，参数先过滤再进数据库
前几天一位做网站的锦州老板问我，网站老被人试出问题，要不要加设备？先说结论：先把参数收干净，这比加设备管用。这类毛病多半出在代码里。锦州有家做这行的企业，搜索框就是个突破口。
查询要走参数化
拼字符串是最常见的写法，也最容易出事。查询语句要用占位符，别把用户输入拼进去。拼进去的内容会被当成指令跑。排查的时候，先看有没有这种拼法。太和区有家公司的查询，原来就是直接拼的。改完之后，试探的记录一下就少了。写法改对，问题去一半。
输入的长度和类型也要卡住。手机号就按手机号校验，别什么都能填。该是数字的地方收到字母，就该拦下来。按字段配 3 类规则，越界直接拒绝。义县有家商户的留言板，原来什么都能提交。后来把字段卡住，垃圾内容少一半。卡在前面，后面就省事。
输出要转义
跨站脚本多半出在显示环节。用户写的内容再显示出来，要先做转义。不转义，一段脚本就会在别人浏览器里跑。实际做的时候，统一走一个输出入口。松山新区一家厂子做点评展示，被塞过一段弹窗脚本。出口收成一个，才管得住。
富文本编辑器要当心。能贴进来的样式越多，能藏的也越多。只放行必要的几个标签。锦州中央大街一带做资讯站的企业，编辑常从别处复制。只放行白名单，风险小很多。范围收窄，隐患就少。
上线前过一遍
改完之后要有人验证。用几个常见写法跑一遍，确认都被挡住，比看代码直接。交付前会做一轮这样的验收。技术项目验收后把源码完整交付，带 1 年免费维护。锦州渤海大学周边的几家创业公司，把它当成上线前的固定动作。验过一遍，才踏实。
常见问题
注入问题怎么自查
拿几个常见的试探写法在测试环境跑一遍。拦不住的地方就是要改的地方。
改了代码还会中招吗
新加的功能同样要过一遍。每次改完都验一次，比查一次管用得多。
用现成的框架能防住吗
框架自带一部分防护，写法不对照样会漏。关键还是参数别拼。
锦州的企业做防注入，先把查询和输出两头收干净。参数收住了，漏洞就少一半。你把现在的网站语言和富文本用法讲一下。信服无限锦州团队做过不少网站防护的项目，愿意帮你把这两件事理清楚。