CardSolution 的 updateAccessChannelByVisit 接口存在路径穿越漏洞（..;/），且未对 channelCodes 参数进行过滤，导致攻击者可以构造恶意 JSON 数据包，触发基于时间的 SQL 盲注（SLEEP(5)），导致数据库响应延迟，造成信息泄露风险。

1. 使用参数化查询（PreparedStatement）或预编译语句，严禁将用户输入直接拼接进 SQL 语句。 2. 对前端传入的 channelCodes 数组进行严格的白名单校验，过滤单引号、括号等特殊字符。 3. 修复接口存在的路径穿越漏洞，禁止请求路径中携带 '..;/' 等特殊字符，并对 URL 进行规范化处理。 4. 最小化数据库权限，避免使用 root 等高权限账号连接数据库。