有烟台做平台的老板问我：听说老系统容易被拖库，SQL注入是怎么回事？我的答案是：一句话——用户输入被当成了代码执行，攻击者拼一句命令进去，你的数据库就听他的了。这至今是企业网站数据泄露的头号原因，烟台的老系统里这毛病不罕见。
注入是怎么发生的
代码把用户输入直接拼进SQL语句，登录框输一段特殊字符，查询逻辑就被改写了。危险在于它不需要高深技术——自动化工具一扫一打，存在注入的站几小时内就能被拖走整库：客户名单、订单、密码全在一句话里。被拖的库一旦流入黑产，诈骗电话精准得可怕，损失是长尾的。
三层防线
根治层：参数化查询——用户输入永远当数据不当代码，这一招让注入失去土壤，老系统改造也优先改这里。权限层：数据库账号最小权限——网站用的账号不给删库建库权限，就算被注入，破坏面也被锁死。兜底层：WAF拦截常见注入特征，给老系统争取改造时间，但别把WAF当根治，规则总有绕法。
自查的三个信号
代码里搜字符串拼接SQL的关键写法，有就是隐患；数据库账号是不是root或最高权限；上线多少年没做过安全扫描。三条中了一条，就该排期整改了——拖库不挑日子，专挑你不设防的时候。信服无限网做软件开发和安全类项目，交付前安全审计是固定门禁，注入类问题是必查项。烟台信服无限给本地企业做漏洞排查与加固，先扫描出报告再整改，按项目评估一案一价。
SQL注入防护的常见疑问
老系统改造成本高吗？
核心是逐接口改参数化，工作量按接口数评估，高风险接口可先改。
装了WAF就行吗？
WAF是兜底不是根治，规则可被绕过，代码层参数化才是根本。
怎么知道有没有漏洞？
先做一轮扫描加代码审查，出风险报告再排期，别盲改。
总结
烟台网站防SQL注入，参数化根治、最小权限锁面、WAF兜底三层防线，老系统按风险排期整改。不确定自己的系统有没有注入隐患，找烟台信服无限先做一轮扫描报告。数据库的门，别等被拖了再锁。