南宁彩票网站开发图解步骤：防SQL注入实战

网站做好了没人访问？别急着投广告，先查查你的代码有没有被黑客当成跳板。很多南宁本地的彩票资讯站，上线三天就挂马，根本原因是后端逻辑裸奔。今天不讲虚的，直接上【图解步骤】，带你从威胁场景到代码修复，把安全这块短板补上。

威胁场景：为什么彩票站是黑客眼中的肥肉

在南宁做彩票相关网站，流量大、数据敏感，天然就是攻击者盯上的目标。你以为用户只是来查开奖结果？错了。黑客盯上的是用户行为数据、后台管理权限，甚至是你服务器里的其他业务。

常见的攻击路径有三条：

未授权访问：后台登录接口没做频率限制，暴力破解密码。
数据泄露：查询开奖数据的接口直接拼接SQL，导致数据库被拖走。
恶意爬取：高频请求接口，拖垮服务器，甚至利用逻辑漏洞批量获取用户隐私。

去年南宁某区的一个彩票预测小站，就因为一个“查询历史开奖”的接口没过滤，被黑客写了脚本，一夜之间把三年数据全导走了。更惨的是，服务器里还放着其他几个项目的源码，全搭进去了。

漏洞原理：SQL注入是怎么穿透你的防线的

很多后端新手觉得，只要前端做了输入校验，后端就安全了。这是大错特错。前端校验只是用户体验，真正的防线必须在后端。

SQL注入的核心原理是输入与代码混淆。当用户输入的数据没有被当作“数据”处理，而是被当作“代码”执行时，漏洞就产生了。

举个典型的错误代码（PHP）：

// 危险代码：直接拼接SQL
$id = $_GET['id'];
$sql = "SELECT * FROM lottery_history WHERE id = " . $id;
$result = mysqli_query($conn, $sql);

如果用户访问 /history.php?id=1 OR 1=1，最终执行的SQL变成了： SELECT * FROM lottery_history WHERE id = 1 OR 1=1 这时候，所有数据都会返回。如果黑客再加点手脚，比如 id=1; DROP TABLE users（虽然现代数据库通常会拦截多语句，但风险极高），后果不堪设想。

阿里云官方文档在《Web应用防火墙最佳实践》中明确指出：任何来自客户端的数据都必须被视为不可信数据。这就是防御的基石。

防护方案：参数化查询与白名单机制

怎么改？别用字符串拼接，用参数化查询（Prepared Statements）。这是目前防止SQL注入最有效、最通用的方案。

还是上面的例子，改成安全代码（PHP + PDO）：

// 安全代码：使用PDO预处理语句
$pdo = new PDO('mysql:host=localhost;dbname=lottery_db', 'user', 'pass');
$stmt = $pdo->prepare("SELECT * FROM lottery_history WHERE id = :id");
$stmt->execute([':id' => $_GET['id']]);
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

关键区别：

预处理语句会先编译SQL结构，再绑定数据。
无论用户输入什么，1 OR 1=1 都被当作一个完整的字符串值，而不是SQL逻辑。
即使输入恶意代码，数据库也只会在 id 字段里找值为 1 OR 1=1 的记录，找不到，返回空，攻击失败。

进阶防护：白名单校验 对于枚举型字段（如状态、类型），必须用白名单。

$allowedStatus = ['pending', 'confirmed', 'cancelled'];
$status = $_GET['status'];if (!in_array($status, $allowedStatus)) {http_response_code(400);die('Invalid status');
}

检测与修复：用工具扫描你的代码

写完代码，别急着上线。用工具扫一遍，能发现90%的常规漏洞。

推荐工具组合：

SQLMap：开源SQL注入扫描器，测试自己站点必须用。
- 命令示例：sqlmap -u "http://your-site.com/history.php?id=1" --batch
- 注意：只扫自己的站！扫别人的违法。
Burp Suite：抓包、修改参数、测试逻辑漏洞。
SonarQube：代码静态分析，集成到CI/CD流程里，提交代码时自动扫描。

修复流程图解：

扫描发现 GET id 参数存在注入风险。
定位代码文件 history.php。
将字符串拼接改为 PDO 预处理。
添加输入类型检查（确保 id 是整数）。
重新测试，确认漏洞关闭。

安全加固清单：上线前必查的5件事

代码改好了，服务器配置也得跟上。以下是南宁本地建站圈子里传下来的“保命清单”：

检查项	操作要点	重要性
SSL证书	必须全站HTTPS，证书有效期至少1年，开启自动续期	⭐⭐⭐⭐⭐
隐藏敏感信息	生产环境关闭 `display_errors`，日志不输出到页面	⭐⭐⭐⭐⭐
后台防护	管理后台加IP白名单，登录失败5次锁定30分钟	⭐⭐⭐⭐
数据库权限	应用账号只给 `SELECT, INSERT, UPDATE, DELETE` 权限，禁用 `DROP`	⭐⭐⭐⭐
WAF配置	启用阿里云WAF基础规则，开启CC攻击防护	⭐⭐⭐