Pikachu靶场是场下我见过最实在的Web安全练习环境之一。它不像有些靶场那样为了炫技堆砌一堆花哨功能，载安装而是场下老老实实把SQL注入、XSS、载安装CSRF、场下文件包含这些常见漏洞一个个拆开给你练。载安装说白了，场下你想学渗透测试但不敢拿真实网站下手，载安装这东西就是场下给你合法“搞破坏”的地方。

下载方式有好几种，载安装我推荐直接去GitHub拉源码。场下项目地址是载安装 https://github.com/zhuifengshaonianhanlu/pikachu，打开页面后点那个绿色的场下“Code”按钮，选“Download ZIP”就行。载安装文件不大，场下几十兆，下载完解压到一个你顺手的目录里，比如 D:\pikachu 或者 /var/www/html/pikachu。别小看这一步，后面配置环境的时候路径写错了，找半天问题都找不出来。

如果你用Windows，最省事的方案是装个phpstudy或者XAMPP。我习惯用phpstudy，版本无所谓，但PHP最好选7.x，别用8.0以上，因为pikachu有些代码在PHP8下会报错。把解压好的pikachu文件夹整个丢到phpstudy的WWW目录下，然后启动Apache和MySQL。接下来打开浏览器，访问 http://localhost/pikachu，你应该能看到安装引导页面。

安装过程其实就一步：填数据库信息。默认用户名是root，密码看你phpstudy里怎么设的，通常是root或者空。数据库名随便写，比如pikachu。点安装，它会自动建表、插数据。如果报错说连接不上数据库，先检查MySQL服务有没有跑起来，再确认端口是不是3306——有些人的电脑上装了多个MySQL，端口冲突了都不知道。

Linux用户更简单。LAMP环境搭好之后，把源码放到 /var/www/html/pikachu，然后给目录权限：chmod -R 755 pikachu。数据库那边手动建一个库，比如 CREATE DATABASE pikachu;，然后修改 inc/config.inc.php 里的数据库账号密码。改完直接浏览器访问 http://你的IP/pikachu，点安装就行。注意别用root跑Apache，权限给www-data或者apache用户。

装完之后你会看到左侧一排菜单：暴力破解、跨站脚本、SQL注入、RCE、文件包含、CSRF、SSRF……每个分类下又有若干小关。我建议从SQL注入的“数字型注入”开始，那个最直观。输入 1 or 1=1，页面直接把所有用户数据吐出来，那一刻你就能明白为什么参数化查询是保命的东西。

有个坑得提前说：pikachu默认没有开启任何防护，所以你在练习的时候别把它暴露在公网。我见过有人图方便直接绑到0.0.0.0，结果被扫描器扫到，数据库被清空。本地玩就行，或者用Docker跑，隔离得干净。Docker命令也简单：docker run -d -p 8080:80 -v /你的路径/pikachu:/var/www/html/pikachu php:7.4-apache，然后进容器装mysqli扩展，再配数据库。稍微麻烦点，但安全。

最后说个个人感受：pikachu的界面确实丑，代码写得也不算优雅，但它胜在漏洞类型全、复现步骤清晰。你每做完一关，最好对着源码看一眼漏洞是怎么产生的，比如XSS那一关，看看它是直接echo $_GET['message']还是做了过滤。看懂了再自己写个修复版本，那才算真正学到手。别光顾着弹窗玩，那跟打游戏没区别。