Web 应用面临的常见安全漏洞主要包括：

1. SQL 注入：攻击者通过构造恶意输入篡改 SQL 语句，窃取或破坏数据库。防护：参数化查询、输入校验、最小权限。

2. XSS 跨站脚本：恶意脚本注入页面窃取用户信息。防护：输出编码、CSP、输入过滤。

3. 文件上传漏洞：上传可执行文件获取服务器权限。防护：白名单校验、存储隔离、禁用执行权限。

4. 越权访问：未校验操作权限导致横向或纵向越权。防护：服务端逐次鉴权。

5. CSRF 跨站请求伪造：诱导用户发起非自愿请求。防护：CSRF Token、SameSite Cookie。

6. 目录遍历与文件包含：通过路径跳转读取任意文件。防护：路径规范化、白名单。

国联天成 Web 应用防护体系（网页防篡改系统 + Web 应用防护系统 + 安全态势感知系统）可为 Web 应用提供多层次纵深防御。