前　　言一、為什么要寫這本書隨著網(wǎng)絡(luò)的普及，人們的工作、生活已經(jīng)與網(wǎng)絡(luò)深度融合。Web系統(tǒng)由于其高度可定制的特點，非常適合承載現(xiàn)有的互聯(lián)網(wǎng)應(yīng)用。目前，大量在線應(yīng)用網(wǎng)站的出現(xiàn)和使用也印證了這一點。我們每個人每天都會打開各種網(wǎng)站搜索自己感興趣的內(nèi)容或使用某一個應(yīng)用，其中每個站點的功能各不相同，業(yè)務(wù)流程也各自獨立，并且站點功能及版本的迭代、更新速度非�？�。同時，由于大量Web應(yīng)用功能及版本的快速更新，也導致各類新型Web安全問題不斷出現(xiàn)。盡管Web安全問題的表現(xiàn)形式各異，但深入分析各類安全問題的成因會發(fā)現(xiàn)，這些安全問題有一定的共性并能通過相關(guān)的網(wǎng)絡(luò)安全技術(shù)來加以防御和解決。
反觀Web安全的學習過程，由于Web安全攻防涉及的技術(shù)、工具繁多，安全問題也表現(xiàn)出各種復雜的形式，學習者很容易被這些表象混淆，進入“只見樹木不見森林”的誤區(qū)，無法快速成長。因此，本書作者基于多年的安全研究、教學、工程實踐經(jīng)驗，以幫助讀者建立知識體系為目標，通過原理、方法、代碼、實踐的層層深入，使讀者充分理解Web安全問題的成因、危害、關(guān)聯(lián)，進而有效地保護Web系統(tǒng)，抵御攻擊。
二、本書的主要內(nèi)容本書試圖整理出Web安全防護知識的體系，因此對每一類Web安全問題，都對從原理到攻防技術(shù)的演進過程加以詳細的講解。在針對安全問題的分析方面，本書從基礎(chǔ)的漏洞環(huán)境入手，可排除不同業(yè)務(wù)環(huán)境的干擾，更聚焦于安全問題本身。這種方式有利于幫助讀者在掌握每種Web安全問題的解決方案的同時，對整個Web安全防護體系建立清晰的認知。
本書主要內(nèi)容共分為5部分，各部分內(nèi)容如下。
第一部分（包括第1章）：Web應(yīng)用概念龐大、涉及的協(xié)議廣泛，因此，此部分沒有系統(tǒng)地介紹所有的基礎(chǔ)內(nèi)容，而是抽取了與Web安全關(guān)系密切的協(xié)議等方面的基礎(chǔ)知識。這些知識對后續(xù)理解Web攻防技術(shù)極為關(guān)鍵。
第二部分（包括第2～8章）：重點講解Web應(yīng)用中的基礎(chǔ)漏洞，從用戶端到服務(wù)器端依次開展分析。首先從主要攻擊用戶的跨站請求攻擊入手，之后了解Web應(yīng)用中的請求偽造攻擊、針對Web應(yīng)用于數(shù)據(jù)庫交互產(chǎn)生的SQL注入攻擊。再針對可直接上傳各類危險文件的上傳漏洞進行分析，并說明上傳漏洞中常用的木馬的基本原理。最后對服務(wù)器端的危險應(yīng)用功能（文件包含、命令執(zhí)行漏洞）進行分析。此部分重點講解上述基本漏洞的原理及攻防技術(shù)對抗方法，并針對每個漏洞的測試及防護方法的技術(shù)演進思路進行整理。
第三部分（包括第9～15章）：重點講解Web應(yīng)用的業(yè)務(wù)邏輯層面的基礎(chǔ)安全問題。Web應(yīng)用基于用戶管理機制來提供個性化的服務(wù)，用戶的身份認證則成為安全開展Web應(yīng)用的基礎(chǔ)功能。此部分從用戶的未登錄狀態(tài)入手，講解用戶注冊行為中潛在的安全隱患。然后對用戶登錄過程中的安全問題進行整理，并對常見的用戶身份識別技術(shù)進行原理說明。最后對用戶登錄后的基本功能及用戶權(quán)限處理方式進行講解。
第四部分（包括第16～19章）：主要講解在實際Web站點上線之后的基礎(chǔ)防護方式，并從Web整體應(yīng)用的視角展示攻防對抗過程中的技術(shù)細節(jié)。重點針對Web服務(wù)潛在的基礎(chǔ)信息泄漏方及對應(yīng)處理方法進行總結(jié)。最后提供可解決大部分問題的簡單防護方案，這對安全運維有較大的用途。
第五部分（包括第20～23章）：在前幾部分的基礎(chǔ)上總結(jié)Web安全防護體系建設(shè)的基本方法。本部分先從Web安全中常見的防護類設(shè)備入手，分析各類安全防護設(shè)備的特點及適用范圍。之后，對目前業(yè)界權(quán)威的安全開發(fā)體系進行基本介紹，并對安全服務(wù)中的滲透測試的主要流程進行說明。最后以實例的形式展示如何進行快速的代碼審計。
以上每個部分的知識均為遞進關(guān)系。第一部分和第二部分幫助讀者了解Web應(yīng)用中各類漏洞的原理及測試方式、防護手段等。第三部分和第四部分讓讀者了解業(yè)務(wù)層面和整體安全的防護方法。第五部分則從整體層間構(gòu)建有效防護體系的思路。最后可綜合掌握Web安全防護的整體內(nèi)容，這也是本書希望讀者獲得的閱讀效果。
三、本書的讀者對象本書適合所有對Web安全感興趣的初學者以及從事安全行業(yè)的相關(guān)人員，主要包括以下幾類讀者：
信息安全及相關(guān)專業(yè)本科生本書以基本的漏洞為例，循序漸進地梳理攻防對抗方式及各類漏洞的危害。信息安全及相關(guān)專業(yè)學生可根據(jù)這些內(nèi)容快速入門，并以此作為基礎(chǔ)來探索信息安全更前沿的領(lǐng)域。
安全運維人員本書提供了大量漏洞利用特征及有效的安全運維方式，可供安全運維人員在實際工作中快速發(fā)現(xiàn)系統(tǒng)安全狀況，并對安全漏洞進行基本的處理。
安全開發(fā)人員本書列舉了各種漏洞的原理分析及防護方式，可幫助開發(fā)人員在Web系統(tǒng)的開發(fā)過程中對漏洞進行規(guī)避，進而從根源上避免Web漏洞的出現(xiàn)。
安全服務(wù)人員安全服務(wù)人員重點關(guān)注如何快速發(fā)現(xiàn)目標Web系統(tǒng)的安全隱患并針對問題提出處理建議。此類讀者建議重點閱讀本書前三部分以及最后一部分的最后兩章，可為安全服務(wù)的工作開展提供更全面的技術(shù)支持。
攻防技術(shù)愛好者對于攻防技術(shù)愛好者來說，本書提供了體系化的Web安全基礎(chǔ)原理，可有效豐富個人的知識儲備體系。
四、如何閱讀這本書本書雖然篇