排查Web应用中的用户输入注入点，关键在于识别所有接收外部数据的入口，并验证其过滤与转义机制是否完备。攻击者可能通过表单、URL参数、HTTP头、文件上传甚至WebSocket等渠道注入恶意代码，引发SQL注入、XSS、命令注入等安全风险。你需要立即行动：首先梳理应用的数据流图，列出所有输入点；然后逐点测试过滤规则；最后实施参数化查询、输出编码等防护措施。下面将详细拆解每一步操作。

梳理Web应用的用户输入点清单

用户输入点远不止登录表单和搜索框。你需要系统性地收集以下入口：

(1)HTTP请求参数，包括GET/POST参数、路由参数（如/user/:id）；

(2)HTTP头部信息，如Cookie、User-Agent、Referer；

(3)文件上传功能中的文件名、文件内容；

(4)第三方API回调接收的数据；

(5)客户端存储（如LocalStorage）回传的数据；

(6)WebSocket消息、SSE流数据；

(7)富文本编辑器提交的HTML内容。建议使用应用架构文档配合流量代理工具（如Burp Suite）进行抓包分析，确保无遗漏。

SQL注入点的检测与修复

SQL注入通常发生在动态拼接SQL语句处。排查时重点关注数据库操作层代码，例如使用字符串拼接的查询语句。检测方法包括：在输入点提交单引号（'）、分号（;）等特殊字符，观察是否出现数据库报错或异常响应。更有效的工具是SQLMap，但手动代码审计更彻底。修复必须采用参数化查询（预编译语句），禁止拼接。例如Java中应使用PreparedStatement：

String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setInt(1, userId);

同时，最小化数据库账户权限，避免使用管理员账号连接。对于遗留系统，可临时采用输入过滤，但需注意黑名单可能被绕过（如Unicode编码）。

跨站脚本（XSS）输入点的深度检查

XSS注入点存在于所有将用户输入输出到页面的位置。排查时需区分反射型、存储型和DOM型。对于反射型和存储型，检查服务端模板渲染、JSON响应拼接HTML等场景。DOM型则需分析前端JavaScript中innerHTML、document.write()等危险函数的使用。测试时可在输入点提交<script>alert(1)</script>或onerror=alert(1)等Payload，观察是否执行。修复方案：对所有输出到HTML的数据进行编码，根据上下文选用HTML实体编码、JavaScript编码或CSS编码。例如使用OWASP Java Encoder：

String safeOutput = Encode.forHtmlContent(userInput);

同时，设置HTTP头Content-Security-Policy（CSP）限制脚本来源，可大幅降低XSS影响。

命令注入与文件路径遍历的排查

命令注入常见于调用系统命令的功能，如文件处理、服务器管理模块。排查时查找Runtime.exec()、ProcessBuilder等代码，检查参数是否未经净化直接拼接。测试可尝试输入; ls /或| cat /etc/passwd等命令分隔符。修复需白名单验证输入内容，或使用API替代命令调用。例如用Java NIO代替rm命令删除文件。文件路径遍历则需检查文件读取接口，用户输入是否直接拼接为文件路径。修复方法：规范化路径后，验证是否在允许目录内，杜绝使用../跳转。

HTTP头注入与CRLF攻击的防范

HTTP头注入常被忽略，如将用户输入写入Location、Set-Cookie头。攻击者可能通过输入换行符（\r\n）插入额外头部或响应体。排查所有设置HTTP头的代码，测试输入\r\nLocation: http://恶意站点.com。修复需删除输入中的换行符，并采用严格的白名单验证。此外，日志注入也属此类，用户输入可能破坏日志格式，需对日志内容做转义处理。

富文本与文件上传的特殊处理

富文本编辑器（如CKEditor）需允许部分HTML标签，但不能直接放行。排查时需验证是否使用HTML净化库（如JSoup、DOMPurify），并配置允许的标签和属性白名单。文件上传点需检查：

(1)文件类型是否通过MIME类型和后缀双重验证；

(2)文件是否重命名存储；

(3)是否隔离执行权限。测试可上传含恶意脚本的HTML文件或伪装图片的PHP文件。修复方案：将文件存储在非Web可访问目录，或通过代理服务提供下载。

自动化扫描与人工审计的结合策略

自动化工具（如OWASP ZAP、Nessus）可快速扫描常见注入点，但无法覆盖业务逻辑漏洞。建议流程：

(1)用工具进行全站爬取和基础测试；

(2)人工审计核心业务代码，特别是自定义的输入处理函数；

(3)进行灰盒测试，结合源码与流量分析。重点检查自定义的过滤函数，常见缺陷是错误使用正则替换（如仅过滤一次script标签）。同时，建立输入点清单文档，随版本更新持续维护。

纵深防御与监控响应机制

单一防护层可能失效，必须实施纵深防御：

(1)在网关层设置WAF过滤明显恶意负载；

(2)应用层统一输入验证框架；

(3)数据库层使用最小权限；

(4)输出层强制编码。同时部署监控：记录所有注入攻击尝试，告警异常输入模式（如大量特殊字符）。定期进行渗透测试和代码复审，将安全测试纳入CI/CD流水线。最终，安全不是一次任务，而是持续过程，需跟随技术栈演进不断调整防护策略。