漏洞总结：GYM MANAGEMENT SYSTEM (SQL Injection) 漏洞概述 漏洞类型：SQL注入 (SQL Injection) 风险等级：严重 (Critical) 受影响端点： 受影响参数： (GET参数) 根本原因：用户可控输入直接拼接到SQL语句中，未进行参数化或适当过滤。 影响范围 未授权的数据访问 数据篡改 根据数据库权限和利用深度，可能导致数据库完全沦陷 攻击者可枚举数据库结构、提取敏感记录、修改或删除数据 修复方案 1. 对所有SQL查询使用预处理语句**（如 + 绑定参数）。 2. 对ID等输入类型进行严格验证（如严格整数类型转换/验证）。 3. 应用最小权限原则的数据库账户（避免使用高权限DB用户）。 4. 实施集中式错误处理，避免泄露SQL行为。 5. 在CI流程中添加安全测试（如Semgrep + DAST/sqlmap验证工作流）。 利用代码 (POC)