【第三方软件项目验收中的安全漏洞（SQL注入/XSS）修复】
软件项目验收阶段发现的安全漏洞，SQL注入与跨站脚本（XSS）这两类漏洞均位列OWASP Top 10，可直接导致数据泄露或用户身份被盗用。
SQL注入漏洞的修复与验证
SQL注入源于将用户输入直接拼接至SQL查询语句中。杜绝字符串拼接，强制使用参数化查询。
修复方案：
参数化查询（预编译语句）：代码中所有数据库操作必须使用占位符（?）或命名参数，并将用户输入作为参数值传入。例如，在Java中使用PreparedStatement，在C#中使用SqlParameterCollection，在Python Django中使用ORM的查询集。
存储过程：在复杂场景下，可将业务逻辑封装于数据库存储过程中，应用程序通过参数调用存储过程，避免动态SQL生成。
数据库用户最小权限原则：为应用程序使用的数据库账户分配最小必要权限，禁止使用超级管理员账户，通常只需授予其执行特定存储过程或对特定表的增删改查权限。
SQL漏洞验收方式：
工具扫描：使用SQLMap、OWASP ZAP或商业工具（如Checkmarx、Fortify）对修复后的接口重测。将此前发现漏洞的HTTP请求报文作为输入，工具应报告漏洞已不存在。
人工代码审计：审查修复涉及的代码文件，确认所有数据库操作均采用参数化查询，彻底移除字符串拼接方式。
渗透测试验证：测试人员尝试在输入点提交经典Payload（如' OR '1'='1），观察系统响应。修复成功后，Payload应被当作普通字符串处理，不会改变SQL逻辑，且不会引发数据库错误。
XSS漏洞的修复与验证
XSS漏洞因渲染用户提交的恶意脚本所致。对输出到页面的所有用户可控数据进行严格处理。
上下文相关的输出编码：
HTML正文编码：对输出到HTML Body中的内容（如<div>{{ data }}</div>），进行HTML编码。将<, >, ", ', & 分别转换为 <, >, ", ', &。
HTML属性编码：对输出到HTML标签属性中的值（如<input value="{{data}}">），同样进行HTML编码。
JavaScript编码：对输出到<script>标签中的动态内容，需进行JavaScript Unicode编码。
URL编码：对输出到URL参数中的值进行编码。
内容安全策略（CSP）：作为纵深防御措施，在HTTP响应头中配置Content-Security-Policy，明确告知浏览器哪些来源的脚本、样式等资源是可执行的。即使存在未被处理的恶意脚本，浏览器也不会执行它。
使用安全框架：现代前端框架（如React, Vue, Angular）默认提供了输出编码，能有效防御大部分XSS场景。
XSS漏洞验收方式：
工具扫描：使用OWASP ZAP、Burp Suite等工具主动扫描所有输入点，提交<script>alert(1)</script>等测试Payload，工具不应再报告XSS漏洞。
人工测试：在搜索框、评论区、个人信息页等所有用户输入显示点，尝试提交XSS测试代码。页面应正常显示编码后的文本，而非弹出警告框或执行脚本。
代码审计：审查修复代码，确认对所有输出到前端的数据均调用了正确的编码函数或采用了安全的输出方式。