后台安全别等出事才补：三个容易被忽视的防护细节

最近群里又有人聊起后台被刷接口的事，结合自己踩过的坑，说几句实在的。

先说鉴权。很多人只做“登录校验”，却忽略了接口级的权限判断。用户登录了不代表能调所有接口，每个请求都该确认“这个人有没有这个操作的权限”，而不是只看session里有没有用户ID。

再说CSRF。别以为用了JSON提交就安全，关键操作（改密码、删数据、提现）必须带一次性token，且token要和当前会话绑定。见过太多项目token写死在前端或者压根不校验。

最后说SQL注入。参数化查询是底线，但很多人栽在“拼接排序字段”和“LIKE模糊搜索”上。order by后面跟用户输入、like拼字符串，照样能注入。白名单校验字段名，别偷懒。

总结一句：安全不是上线前跑一遍扫描工具就完事，而是每个接口写的时候多问一句“这参数用户能控制吗”。欢迎交流你们踩过的坑。