注入（Injection）是 OWASP Top 10 中长期霸榜的一类漏洞。攻击者把恶意代码"注入"到输入数据中，让程序将其当作指令执行——SQL 注入让数据库沦为提款机，XSS 让浏览器变成攻击者的傀儡，命令注入直接接管服务器。而越权（IDOR）虽非严格意义的"注入"，却是 Web 应用最普遍的数据安全漏洞之一。

本文聚焦 SQL 注入、XSS、越权三大漏洞，从原理、类型、绕过技巧到测试工具与防护，给出可落地的安全测试指引。

一、注入攻击概述

注入的本质：应用程序将不可信的用户输入拼接到可解释的代码/查询中，且未做有效隔离，导致输入被当作代码执行。

接口（API）是前后端、服务与服务之间交互的核心通道，也是系统对外暴露攻击面最大的一环。OWASP 反复强调：API 是最容易被攻击者利用的入口之一——一次未鉴权的越权调用、一段明文传输的用户信息、一个缺少限流的查询接口，都可能演变为严重的安全事故。

本文面向测试工程师与研发同学，从威胁全景、传输安全、常见漏洞攻击手法、安全测试实战到防护最佳实践，系统梳理接口安全知识体系。

一、接口安全概述

1.1 什么是接口安全

接口安全指围绕 API 的调用过程，保障其机密性（Confidentiality）、完整性（Integrity）、可用性（Availability） 不被破坏的一系列技术与措施，涉及认证、授权、传输加密、输入校验、限流防刷、审计日志等多个维度。