每个开发者必须掌握的 Web 安全防御知识——用攻击者的思维，写出更安全的代码
95% 的安全漏洞源于代码层面的缺陷，而非复杂的黑客技术。SQL 注入、XSS、CSRF——这些 OWASP Top 10 中的经典漏洞，每一个都曾造成过数百万用户数据泄露的安全事件。2021 年 Log4Shell 漏洞让全球数亿个服务暴露于风险之中，仅仅因为一行日志记录代码。
安全不是安全工程师的专属责任，而是每一位编写代码的开发者的职责。理解漏洞的原理——攻击者如何构造恶意输入、为什么参数化查询能防止 SQL 注入、CSP 如何阻止 XSS——才能真正写出安全的代码，而不是只靠祈祷。
本教程以防御性开发为核心视角，从 Web 安全基础、OWASP Top 10、注入攻击、XSS、CSRF/SSRF、认证安全，到访问控制、安全配置、供应链安全、安全测试，为开发者构建完整的安全知识体系。
Web 安全六大防御维度，从漏洞原理到代码实践
理解 SQL 注入、命令注入原理，掌握参数化查询和输入验证最佳实践。
密码哈希、MFA 多因素认证、JWT 安全、IDOR 越权漏洞防御。
三种 XSS 类型原理、CSP 策略配置、CSRF Token 与 SameSite Cookie。
TLS 最佳实践、安全 HTTP Headers、静态加密、密钥管理（不硬编码 Secret）。
依赖扫描、SBOM、Log4Shell 教训，将安全扫描集成到 CI/CD 流水线。
SAST/DAST/渗透测试思维、OWASP ZAP、Semgrep，威胁建模 STRIDE。
从安全基础到实战检测，完整的 Web 安全防御学习路径
CIA 三要素、HTTP 协议安全要素、同源策略 SOP 与 CORS、安全开发生命周期 SDLC、CVE/CVSS 名词解释。
2021 版 10 大漏洞类别详解、CVSS 评分标准、知名数据泄露事件案例分析，建立安全全局视图。
经典注入原理、盲注技术解析、防御：参数化查询 / ORM 安全 / 输入验证，多语言防御代码示例。
存储型 / 反射型 / DOM 型 XSS 原理、Cookie 劫持危害、CSP 配置详解、DOMPurify 净化用户输入。
跨站请求伪造攻击原理、CSRF Token 防御、SameSite Cookie；SSRF 内网探测与云元数据接口保护。
密码哈希（bcrypt/Argon2）、彩虹表攻击、MFA/TOTP/FIDO2、JWT 安全陷阱、Session 重生成防御。
IDOR 不安全直接对象引用、水平 / 垂直越权、RBAC 角色模型、目录遍历攻击、最小权限原则实践。
常见配置错误、TLS 1.2+/HSTS 配置、AES-256 静态加密、密钥管理（Vault/KMS）、安全 HTTP Headers 清单。
Log4Shell 教训、npm audit/trivy 扫描、SBOM 物料清单、CI/CD Secrets 防护、GitHub Actions 集成。
SAST/DAST 工具链、渗透测试流程、威胁建模 STRIDE、Bug Bounty 指南、安全编码 Checklist。