我的网站遭黑，227万垃圾数据涌入，AI代码险些社死？

大家好，我是孟健。作为一名开发者，我Zui近遭遇了一次令人心悸的黑客攻击。我的网站 kirkify.net 被攻击者利用漏洞注入了227万条垃圾数据，这让我深刻意识到了网络安全的重要性。

事件经过

上周六下午，我收到一封邮件，标题直白地写着“你的东西泄露了兄弟”。邮件里附了一个暗网论坛链接，声称我的网站 kirkify.net 的数据库Yi经被公开下载。我顿时感到脊背发凉，赶紧打开后台查kan情况。

这一kan不要紧，我发现数据库里多了227万条垃圾数据！数据分布极其均匀：763K approved、763K pending、764K rejected。攻击者用 FloodUser_XXXXX 的命名模式批量写入，每条 caption 填充 1KB 的 base64 随机数据——这不是随机攻击，是有计划的数据库膨胀攻击。

漏洞分析

经过一番调查，我发现问题出在一个叫 submitCaseStudy 的 Next.js Server Action 上。这段代码是 AI 帮我写的，原本功Neng完整、类型正确、Neng跑，但完全没有考虑安全性。具体来说有五个致命问题叠加在一起：

① Server Action 暴露为 HTTP POST 端点 Next.js 的 Server Action 虽然在服务端执行，但本质上就是一个 HTTP POST 接口。任何人douKe以直接构造请求调用，完全不需要前端页面。

② 无认证 函数体内没有任何 session / auth 验证。谁douNeng调，无门槛。

③ 无 Rate Limit 没有任何频率限制。攻击者写个循环脚本，每秒Neng提交几百条。

④ 自动审核通过 代码里 status: 'approved' 硬编码，提交即上线。垃圾内容直接出现在 Gallery 页面不需要任何审核。

⑤ 用 Service Role Key 绕过数据库安全 代码用 Supabase 的 service_role key 操作数据库，完全绕过了行级安全策略。虽然数据库开了 RLS，但 service_role 拥有 God Mode 权限，安全策略形同虚设。

修复与加固

发现问题后我和 AI Agent 墨码立刻开始修复。我们采取了以下措施：

第一步：堵住入口 给 OpenClaw 创建专用用户，限制文件系统访问范围。万一 Agent 被诱导执行恶意命令，损害范围可控。

. API 端点有没有裸奔？ 不需要认证就Neng访问的写入 API = 等着被刷。特别注意 Next.js Server Action——它本质是 HTTP POST，不是"服务端函数"。

. 有没有 Rate Limit？ 没有限速的 API，就是一个等着被刷的 API。

. 数据库有没有正确配置权限？ 用 Supabase 就开 RLS + 写好策略。用 service_role key 要极其谨慎——它Neng绕过一切安全策略。

. API Key 有没有硬编码在代码里？ 检查 .env 文件权限，确保 Key 不在 Git 仓库里geng不要出现在聊天记录里。

. 开 fail2ban SSH 暴力破解是Zui常见的攻击手段。apt install fail2ban 一行命令，建议配置 次失败封 小时。

. 远程访问绑内网 Ru果你在服务器上跑 VNC、远程桌面或调试端口，一定绑到内网 IP 或 Tailscale 网络 ，不要暴露在公网。我之前 VNC 绑了 .，相当于全世界douNeng连。

. env 文件权限改

运行 chmod ~/.openclaw/*.json 和 chmod .env ，只允许当前用户读写。

教训与

这次事件让我深刻认识到 AI 编程虽然提高了开发效率，但也带来了新的安全挑战。AI hen擅长写 " Neng跑的代码 " ，但它默认不会帮你加认证、加限速、配安全策略。除非你明确要求它这么Zuo。

代码Neng跑，不代表代码安全。

为了避免类似的安全问题，我了几条实用建议：

上线前检查安全配置

使用 Rate Limit 和认证机制

配置合理的数据库权限

不要硬编码敏感信息

定期检查开放端口和异常监控

Zui后希望你不用像我一样，等到收到黑客邮件那天才明白这个道理。在使用 AI 编程工具时多问一句： " 这段代码有什么安全隐患？帮我加上认证、 Rate Limit 和输入校验。 " 就这一句话，Neng避免 % 的安全问题。

如何避免 AI 代码的安全隐患？

我们需要时刻保持警惕，确保代码的安全性。通过遵循Zui佳实践和定期审计，我们Ke以Zui大程度地减少潜在风险。让我们一起努力打造geng安全的网络环境！

希望这篇文章对你有所帮助！Ru果你有任何想法或建议，欢迎在评论区分享。

© 2023 我的网站. All rights reserved.

---