我认识一个做前端的看网哥们儿，去年想学网络安全。站多他买了三本书，实战刷了四十小时视频课，看网连SQL注入的站多原理都能背下来。然后他找了个靶场网站，实战对着登录框试了半小时，看网硬是站多没搞明白怎么判断注入点。书上的实战例子是单引号报错，但那个网站用了ORM，看网输入单引号页面纹丝不动。站多他卡住了，实战卡了整整一周。看网后来他把书扔一边，站多跑去刷Hack The 实战Box的入门机器，第三天就摸到了门道。

这事说明一个很朴素的道理：看网站和看教程，根本是两码事。教程给你的是理想环境，网站给你的是真实战场。真实战场上没有“假设这里存在注入”，你得自己找。找的过程就是实战。

为什么“看”比“读”管用

网站是活的。你打开一个页面，F12看源码，看到的是服务器实际吐出来的东西。里面有注释、有调试信息、有第三方脚本、有cookie的奇怪命名。这些东西教程不会教，因为它们每时每刻都在变。但恰恰是这些细节，往往藏着突破口。

我自己的习惯是，每看到一个有意思的网站，先不急着点功能，先开DevTools。看Network面板，看请求头里有没有奇怪的字段，看响应体里有没有多余的JSON键。有一次我注意到某个站点的API返回里有个debug_info字段，里面直接带着SQL语句。没人会在教程里写这个，因为这不是“标准漏洞”，这是开发者偷懒留下的口子。但实战里，这种口子最好用。

具体怎么看

先看URL结构。参数是数字还是哈希？数字的试试加减一，哈希的看看长度。再看表单。提交一个正常请求，抓包，改一个字符，看响应差异。差异不一定是报错，可能是状态码变了，可能是返回内容长度变了，可能是响应时间变了。这些信号比报错更常见，也更隐蔽。

然后看前端逻辑。很多站点的权限控制只做在按钮上，后端接口根本不校验。你把按钮的disabled属性删掉，或者直接调接口，就能干不该干的事。这种问题在教程里叫“越权”，在实战里叫“日常”。我见过一个后台管理系统，普通用户看不到删除按钮，但接口/api/delete?id=123谁都能调。你说这算漏洞吗？算。但扫描器扫不出来，因为页面上没有那个按钮。

别只盯着漏洞

看网站多实战，不光是练挖洞。你去看大厂怎么组织前端代码，怎么分包，怎么处理缓存，怎么设计API。这些都是实战经验。你看十个电商网站，就能总结出购物车逻辑的几种常见写法。以后遇到类似场景，你心里有数，知道哪里容易出问题。

我有个朋友专门看政府网站。他说这类站点技术栈老，但架构复杂，经常有奇怪的子域名和遗留接口。他花了一个月，把某个市的政务网站全看了一遍，最后在一个没人维护的旧版查询系统里找到了注入点。不是他技术多强，是他看得够多，知道哪里该多看两眼。

怎么看才算“实战”

别光看，要动手。看到可疑参数，改一下试试。看到有意思的接口，用curl发个请求。看到前端加密，去JS文件里找密钥。哪怕什么都没发现，你也练了手感。手感这东西，看书看不来。

另外，别怕看小网站。大厂安全做得好，你看了半天可能一个洞都没有。小网站反而容易出东西，而且反馈快。你提交一个XSS，可能第二天就收到感谢邮件。这种正反馈很重要，能让你坚持下去。

最后说一句：看网站不是瞎逛。带着问题看，带着工具看，带着笔记本看。看到什么记下来，下次遇到类似的，你就有参照了。这比背一百个payload管用。