由于您登入到了Gruyere并且您有一个私人片断，您将在我的页面看到一个警告框，告知您有关您片断的内容。如往常一样，如果我设法启动一个警告框，我就能为所欲为；在这里，它仅是一个简单的片断，但是它也很可能是您最大的秘密。
防御您的应用程序不受XSSI的危害并不十分困难，但仍然需要谨慎的思考。您可以使用XSRF部分所解释的令牌、将您的脚本设置为仅回应POST请求，或简单地开启带有‘\n’的JSON响应以确保脚本无法执行。
SQL注入 – 仍然认为用户输入很安全吗？如果我试图使用如下的用户名登入您的应用程序，将会发生什么？
无名氏’; 删除表成员;--（JohnDoe’; DROP TABLE members;--）
虽然这个具体的例证不会暴露用户数据，但由于它可能将您应用程序储存有成员信息在其上的SQL表完全移除，因此还是能造成很大的问题。
通常，您可以通过主动思考和输入确认来保护您的应用程序免受SQL注入的侵害。首先，您是否能确认SQL用户需要拥有许可来执行“DROP TABLE members”吗？仅授予选择权限不是足够了吗？通过谨慎设置SQL用户的许可，您可以避免遭受痛苦的困扰和大量的麻烦。您还可以以另外一种方式配置错误报告，这样如果查询失败，则数据库和它的表的名字将不会遭到暴露。
第二，正如我们在XSS情形中所了解到的，永远都不要信任用户输入：对您来说看起来像是登陆表格的，对攻击者来说就是一个潜在的入口。对于即将储存在数据库中的输入，永远要进行审查和确认，并且在任何可能的情况下，要利用在大多数数据库编程接口都能获取的、被称为有准备的或被参数化的声明。
了解网络应用程序如何得到利用是理解如何保护它们的第一步。因此，我们鼓励您参加
Gruyere课程、参加其他来自
Google编程学院的网络安全课程，并且，如果您正需要一款自动的网络应用程序安全测试工具的话，不妨试试
skipfish。如果您还有其他问题，请在我们的
网站站长帮助论坛发帖提出。
