一、构筑数字围城：外卖跑腿小程序如何以技术利刃斩断SQL注入与XSS攻击链？
1. 参数化查询与预编译语句：从根源扼杀SQL注入
SQL注入的本质在于攻击者通过拼接恶意字符串篡改数据库指令。开发者必须彻底摒弃原始的字符串拼接式SQL语句，**采用参数化查询机制。以订单查询接口为例，应使用预编译语句（PreparedStatement）将用户输入的订单ID作为参数绑定，而非直接嵌入SQL字符串。数据库引擎会将参数内容视为纯数据而非可执行代码，从根本上隔离指令与数据。例如在MySQL中，通过`?`占位符绑定参数，配合`executeQuery()`方法执行，可确保即便输入包含`' OR 1=1 `等攻击载荷，也仅被视为普通字符串值。同时，需强制使用*小权限的数据库账户，避免攻击者利用注入点执行高危操作。
2. 多层级输入输出过滤：构建XSS攻击立体防火墙
XSS攻击通过注入恶意脚本劫持用户会话，需建立三层防御体系：输入侧实施严格的白名单过滤，如利用DOMPurify库对骑手备注、用户评价等自由文本字段进行HTML标签**（如仅保留``、``等**标签）；输出侧采用上下文敏感的编码策略，根据输出位置（HTML内容/属性/JavaScript区域）分别选用HTML实体编码、URL编码或JavaScript编码；*后在内容**策略（CSP）层面，通过HTTP头`ContentSecurityPolicy`限制脚本来源（如`scriptsrc 'self'`），彻底阻断外部恶意脚本加载。例如对用户昵称的显示，需在服务端和前端双重调用`encodeURIComponent()`，确保`
