一套 Java代码审计课程

这门课解决什么问题，适合谁

Java 代码审计的核心痛点在于“懂漏洞原理，但不会在成千上万行源码里快速定位入口”。本课程跳过泛泛的安全理论，直接切入 Java Web 项目中的高危漏洞闭环。主要覆盖 SQL 注入与 XSS（跨站脚本攻击）两大经典领域，并延伸至第三方架构的安全风险。内容不局限于黑盒扫描器的使用，更强调从源码视角理解漏洞的形成机制、触发路径及防御编码规范。适合具备 Java 基础语法能力、熟悉 Spring/Servlet 基本开发流程的开发者，或希望从“只会写业务代码”转向“具备安全加固能力”的工程人员。如果你从未系统接触过静态应用安全测试（SAST）或手动审计思路，本资料可作为从零搭建审计知识体系的实操指南。

建议先看哪几块，学完能独立做什么

学习路径应遵循“架构认知 → 工具链上手 → 漏洞深挖 → 防御实战”的逻辑。首先观看前置知识概述与 Web 架构章节，建立对 Java Web 请求生命周期的整体认识，这是理解数据流动和污染点的基础。随后集中掌握 Fortify 静态扫描工具的安装与使用，学会如何通过自动化手段初筛风险点。在此基础上，重点研读 SQL 注入与 XSS 系列的三组对照课程：每类漏洞均包含“原理讲解—代码审计复现—黑盒验证—防御写法”四个环节。例如 SQL 注入部分，从拼接语句的危害讲起，到如何用 Fortify 定位可疑查询，再到实际构造 Payload 验证，最后给出安全的数据库处理方法；XSS 部分同理覆盖反射型、存储型与 DOM 型三类场景。通过这种对比学习，你可以独立完成以下工作：针对给定 Java 项目编写审计报告，准确标注漏洞文件、行号及风险等级；理解前端过滤为何不可信，避免被表象误导；掌握如何重构存在风险的代码模块，实现从审计者到安全编码者的角色转换。

资料如何配合练习

本课程的每一节视频都对应一个可验证的实践闭环。建议采用“边看边跟”模式：在观看原理讲解时，暂停视频，自行在本地 IDE 中构建最小化复现环境（如一个简单的 JDBC 查询或 Spring MVC 控制器）；在代码审计环节，对照视频演示的 Fortify 扫描结果，反向追踪源码中的危险函数调用链；在黑盒验证部分，尝试使用 Burp Suite 或手动构造 HTTP 请求，确认漏洞是否真实可触发；在防御章节，参考讲解重写代码，并通过重新扫描验证风险是否消除。特别需要注意的是，对于 XSS 这类涉及浏览器端执行的漏洞，务必在隔离的沙箱环境中进行测试，避免对生产环境或个人账号造成干扰。通过将视频中的理论点转化为本地可运行的测试用例，你能将碎片化的知识点串联成一套完整的审计方法论，而非仅停留在观看层面。