接口不做参数校验，被人传恶意参数直接搞崩数据库，网站挂了半天

之前写文章列表接口，直接拿用户传的排序参数拼进SQL，根本没做参数校验，结果有人传了个恶意的排序参数，直接搞出SQL注入，数据库被查了一堆数据，网站也挂了半天，折腾了好久才恢复。 后来我给所有接口加了严格的参数校验，允许传的参数值做白名单，不在白名单里的直接拒绝请求，之后再也没出现过这种事。很多新手写接口，拿用户传的参数直接用，不做校验，结果被人传恶意参数搞崩数据库，网站直接挂。真的，接口一定要做严格的参数校验，用户传的任何参数都不能直接用，不然被人搞恶意参数，整个网站都遭殃。