DevSecOps与安全测试左移
从威胁建模到 DAST 的流水线卡点、可复制的 GitHub Actions 配置、门禁分级与误报治理，附三个落地上线即失败的真实原因。
阅读全文
TOPIC / SECURITY
安全测试
从 Web 漏洞、渗透测试到代码审计与 DevSecOps，记录攻击面、验证方法与修复建议。
01
02
03
04
05
06
07
08
09
10
11
12
业务逻辑漏洞测试清单
支付金额篡改、优惠券叠加、验证码与找回密码、幂等与并发超卖的真实攻击链，附复现脚本、判定证据与 Java 修复代码。
阅读全文Java代码审计入门
以 Source-Sink 为主线审计 Java 项目：命令注入、SQL 拼接、反序列化、XXE、路径穿越、SpEL 的真实代码与修复，附 Semgrep/CodeQL 规则与 PoC 验证方法。
阅读全文SSRF与文件上传漏洞测试
SSRF 的服务端代码根因、IP 黑名单绕过清单、gopher 打 Redis 的完整链路；文件上传的后缀解析、内容检测绕过与 Nginx/Tomcat 解析复现。
阅读全文CSRF与越权测试
CSRF 的四种可绕过场景与 Token/SameSite/Origin 的逐层验证，越权（水平/垂直/IDOR/租户）的对照实验方法、批量接口漏测点与 Spring Security 修复代码。
阅读全文Burp-Suite实战：代理、重放与扫描
Burp Suite 从装证书到抓不到包的排查、Repeater/Intruder/Turbo Intruder 实操、Android 7+ 证书信任与 SSL Pinning 绕过、Autorize 越权检测的完整流程。
阅读全文Java安全编码规范
从输入校验、注入防御到越权与并发，系统梳理 Java 开发中必须掌握的安全编码原则与常见漏洞的修复方式。
阅读全文SQL注入测试与防御验证
从 MyBatis ${} 到 ORDER BY 注入，给出各数据库 payload、sqlmap 实战参数与 Java 修复代码。
阅读全文信息收集与资产测绘
从子域枚举到 JS 接口提取，给出可复制的命令链、结果去重方法与误报判断。
阅读全文XSS跨站脚本测试与绕过
按 HTML、属性、JS、URL 四种上下文给出 payload 与编码代码，并用 CSP 与 DOMPurify 做纵深防御。
阅读全文渗透测试流程与授权边界
授权书、RoE、CVSS 定级、证据链与复测标准，把一次渗透测试做成可交付、可追责的工程。
阅读全文OWASP-Top-10-2021解读与测试要点
把 OWASP Top 10 2021 的十类风险拆成可复现的请求、可执行的命令和可判定的通过标准，而不是一份名词表。
阅读全文