写接口别直接用用户参数：三步校验，挡掉90%漏洞

很多新手写接口，直接拿用户传的参数就用，结果被人传恶意参数，网站出问题，今天说最基础的参数校验。

什么是参数校验

就是用户传过来的参数，你不能直接用，要先检查：是不是空？格式对不对？是不是你要的类型？比如用户ID，必须是正整数，你就把传过来的参数转成整数，不是整数就直接报错，别用用户传的字符串拼SQL。

为什么要做

不校验参数，用户传个脚本进去，就是XSS漏洞；传个畸形字符串进SQL，就是注入漏洞。90%的Web漏洞，都是因为没校验用户传的参数。

新手怎么做

别信用户传的任何数据，数字参数先转成数字，字符串参数先转义，必填参数先判断空不空，就这三步，能挡掉90%的常见漏洞。不用学复杂的安全框架，这三步做到，基本就安全了。