白帽子讲web安全在线阅读

翻到《白帽子讲Web安全》第87页，吴翰清写了一句让我愣住的安全话：“安全是一个持续的过程，而不是线阅一个状态。”那是白帽2009年，他还在阿里云，安全书里提到的线阅“XSS蠕虫”案例——2005年MySpace的Samy蠕虫，一天之内感染了上百万用户。白帽这事搁现在看，安全技术细节不算复杂，线阅但当时整个互联网都懵了。白帽我读到这里的安全时候，正坐在一家咖啡馆里，线阅旁边有人在用公共WiFi登录网银，白帽我下意识想提醒他，安全又觉得太神经质。线阅可这书就是有这种效果，让你看什么都像漏洞。

为什么这本书值得在线读

国内讲Web安全的书不少，但很多要么是工具手册，要么是论文合集。吴翰清这本不一样，他当过白帽子，也做过甲方安全负责人，写出来的东西带着实战的汗味。比如讲SQL注入，他不会只扔给你一个' OR '1'='1，而是从浏览器地址栏的传参开始，一步步拆到数据库报错信息怎么被利用。我印象最深的是“注入点探测”那节，他列了七八种手工判断的方法，有些技巧你在OWASP文档里根本找不到——那是他真在渗透测试里摸出来的。

在线阅读有个好处：遇到代码片段可以随手复制去试。但要注意，书里的例子都是十几年前的靶场环境，现在直接打真实网站是违法的。我建议配合DVWA或者Pikachu这类漏洞平台来练。另外，书里关于“浏览器安全”的章节，讲同源策略和沙箱机制的部分，现在读依然不过时。Chrome的沙箱模型虽然迭代了很多版，但核心思想没变。

那些书里没明说的事

吴翰清在“安全世界观”一章里反复强调一个观点：不能信任任何外部输入。这话听起来像废话，但实际开发中，我见过太多人栽在这上面。去年有个朋友的公司被拖库，原因竟然是后台管理系统的搜索框没过滤单引号。开发觉得“反正是内部系统”，结果被一个离职员工用sqlmap跑穿了。书里第3章讲“白帽子兵法”时提到“纵深防御”，很多人只当口号，真出事才发现每层都漏。

还有个细节挺有意思。书里讲XSS时，吴翰清吐槽早期IE浏览器对`