漏洞利用的本质是将数据变成代码

SQL注入、XSS、命令注入等看似不同的漏洞，本质上都是同一个问题——系统未能正确区分"数据"和"代码"。用户输入本应是数据（如搜索关键词），但在特定条件下被系统当作了代码（如SQL语句）来执行。理解了这个本质，就能理解为什么参数化查询是防御注入的根本解——它从架构上隔离了数据和代码。