输入验证与输出编码：输入验证的重要性、常见输入验证方法、输出编码（HTML/URL/SQL编码）
好，咱们今天聊一个老生常谈，但又特别容易被忽视的话题——输入验证与输出编码。
我见过太多项目，功能做得花里胡哨，结果上线第一天就被黑客用个简单的 SQL 注入给打穿了。你想想看，多尴尬。说白了，安全的第一道防线，就是管好你的“入口”和“出口”。
为什么输入验证这么重要？
我习惯把用户输入比作“洪水”。你如果不加堤坝，它就会冲垮你的系统。攻击者最喜欢干的事，就是在输入框里塞一些“精心准备”的字符串。
比如，一个登录框。你期待的是用户名和密码。但攻击者可能给你传一个：
' OR 1=1 -- 如果你的代码直接把这个字符串拼接到 SQL 查询里，会发生什么？
SELECT * FROM users WHERE username = '' OR 1=1 --' AND password = 'xxx'嗯，整个用户表就暴露了。这就是典型的 SQL 注入。
我在项目中遇到过类似的情况。一个同事写的接口，直接把前端传过来的参数拼进了文件路径。结果攻击者用 ../../../etc/passwd 就把服务器密码文件给读走了。那次事故之后，我们团队把输入验证提到了最高优先级。
常见的输入验证方法
验证方法有很多，我挑几个最常用的说说。
1. 白名单验证
这是我最推荐的方式。说白了，就是只允许你明确指定的内容通过。
比如，一个年龄输入框，你只允许 1-120 的数字。那就直接写死规则：
// 伪代码示例
if (input is not a number) reject;
if (input < 1 || input > 120) reject;白名单的好处是，你不需要去猜攻击者会用什么黑魔法。你只需要守住自己的底线。
2. 黑名单验证
这个我其实不太喜欢。因为它永远防不住新花样。你堵住了 <script>，攻击者可能用 <img onerror> 绕过。
但有些场景下，黑名单也能用。比如过滤掉一些明显的危险字符：
// 过滤掉常见的 SQL 注入关键字
if (input contains "DROP" or "DELETE" or "UNION") reject;不过，我个人建议，能用白名单就别用黑名单。
3. 格式与类型校验
这个很基础，但很多人会忘。比如，邮箱地址必须符合 xxx@xxx.xxx 的格式。手机号必须是 11 位数字。
我记得有一次，一个用户填了个“哈哈哈哈哈”作为邮箱，系统居然没报错。后来查了一下，是前端校验没做，后端也没做。嗯，这种低级错误，其实挺常见的。
输出编码：为什么需要它？
输入验证是“防患于未然”。但有时候，你防不住。或者，有些数据本身就是用户提供的，比如评论区的用户昵称。
这时候，输出编码就派上用场了。它的核心思想是：在数据输出到不同上下文时，进行对应的转义。
你想想看，如果用户昵称是 <script>alert('xss')</script>，你直接把它显示在页面上，那不就触发 XSS 攻击了吗？
HTML 编码
当数据要输出到 HTML 页面时，必须对特殊字符进行编码。
| 原始字符 | HTML 编码 | 说明 |
|---|---|---|
| < | < | 小于号 |
| > | > | 大于号 |
| & | & | 与符号 |
| " | " | 双引号 |
| ' | ' | 单引号 |
举个例子，用户输入了 <b>hello</b>，经过 HTML 编码后，它会变成 <b>hello</b>。浏览器会把它显示成纯文本，而不是渲染成粗体。
< 和 > 做了编码，但忘了处理 &。结果用户输入了一个 &，页面直接显示成了乱码。嗯，细节决定成败。
URL 编码
当数据要拼接到 URL 中时，必须进行 URL 编码。比如，用户搜索的关键词里包含空格或中文。
URL 编码会把特殊字符转换成 % 后跟两位十六进制数的形式。
// 原始字符串
"hello world & more"
// URL 编码后
"hello%20world%20%26%20more"我建议，所有动态拼接到 URL 中的参数，都要用 encodeURIComponent() 处理一下。别偷懒。
SQL 编码
这个其实更准确的说法是“参数化查询”。
直接拼接 SQL 字符串是万恶之源。正确的做法是使用预编译语句（Prepared Statement）。
// 错误示范（千万别学）
String query = "SELECT * FROM users WHERE name = '" + userName + "'";
// 正确做法（参数化查询）
String query = "SELECT * FROM users WHERE name = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setString(1, userName);为什么参数化查询安全？因为数据库会把 SQL 语句的结构和数据分开处理。用户输入的内容永远只是数据，不会变成 SQL 命令的一部分。
总结一下
输入验证和输出编码，就像是一对双胞胎。一个管“进来”，一个管“出去”。
- 输入验证：用白名单、格式校验，把脏数据挡在门外。
- 输出编码：根据上下文（HTML、URL、SQL），对数据进行转义，防止它变成恶意代码。
我在团队里经常说一句话：“信任是安全的敌人”。你越信任用户输入，你的系统就越脆弱。保持警惕，做好验证和编码，你的代码会感谢你的。