Web安全方向的面试通常会重点考察哪些漏洞和防御方案？

Web安全是网络安全面试中的核心考察领域，理解高频漏洞的原理和防御方案，能让你在面试中表现出扎实的基础。下表汇总了最常见的漏洞类型及应对策略。

漏洞类型	核心攻击原理	关键防御方案
SQL注入	将恶意SQL代码插入输入参数，后端直接拼接执行，从而操纵数据库。	使用预编译（Prepared Statements）或参数化查询，确保用户输入始终被当作数据处理而非代码。
XSS（跨站脚本攻击）	向网页中注入恶意脚本，当其他用户浏览时，脚本在其浏览器执行以窃取信息或进行恶意操作。	对用户输入进行严格的过滤和转义；对输出到页面的内容进行编码；设置Cookie的HttpOnly属性。
CSRF（跨站请求伪造）	诱骗已登录的用户在不知情时，向目标网站发送恶意请求，以用户身份执行未授权操作。	在关键请求（如表单）中加入随机生成的CSRF Token 并进行服务器端验证；设置Cookie的SameSite属性为Strict或Lax。
SSRF（服务端请求伪造）	利用服务端应用作为代理，向内部或受限制的网络系统发起伪造请求，从而探测或攻击内网。	对用户输入的URL进行严格校验（如协议、域名）；建立白名单机制，只允许访问许可的域名或IP段。
文件上传漏洞	利用网站文件上传功能未对文件类型、内容等进行严格限制的缺陷，上传恶意文件（如Webshell）从而控制服务器。	严格限制可上传的文件类型（基于后缀和文件头内容）；将上传的文件存储在Web目录之外，并通过脚本间接访问。
越权漏洞	应用程序未对用户访问权限进行严格校验，导致用户可以访问或操作本无权访问的数据（水平越权）或功能（垂直越权）。	服务端对每次数据访问请求都进行权限校验，确保用户只能操作属于自己的数据或拥有相应角色权限。

💡 面试官看重的不只是答案

在面试中，清晰地复述出表格中的知识点只是第一步。面试官更希望看到你背后的思考方式和实战能力。以下几点建议可以帮助你更好地展现自己：

展现你的思考过程 ：当被问到一个漏洞时，不要只背诵定义。可以尝试用"攻击者利用...条件，通过...手段，最终达到...目的 "的逻辑来阐述，这能体现你对攻击链的完整理解。在解释防御方案时，可以补充说明为什么要这么做，例如，解释CSRF Token之所以有效，是因为攻击者无法第三方域下读取或猜测到这个随机值。
用STAR法则讲述实战经验 ：如果你有相关项目或实验经验，用STAR法则（情境、任务、行动、结果）来组织你的回答。例如："（情境）在某个项目的代码审计中，（任务）我的任务是排查SQL注入风险，（行动）我检查了所有数据库查询点，将动态拼接的SQL语句全部改为使用MyBatis的预编译功能，（结果）最终消除了这一高危漏洞。"即使没有真实项目，在DVWA等靶场环境的练习经历也同样有价值。
关注发展趋势，展现学习热情：Web安全技术在不断演进。你可以主动提及对一些新兴威胁（如针对API的安全问题、供应链攻击）或新防御理念（如零信任架构）的关注，这能体现你的学习能力和对行业的热情。

📌 备考行动建议

动手实践是关键：理论结合实践能让你的理解更深刻。强烈建议你动手搭建像DVWA或WebGoat这样的靶场环境，亲自尝试复现和修复这些漏洞。
进行模拟面试：找一位朋友或同学进行模拟面试，重点练习如何将技术术语用清晰、有条理的语言表达出来。这能有效缓解紧张情绪，让你在真实面试中发挥更稳定。