计算机硕士课程

默认只展示每周独有的知识重点；节奏、考核、Tutorial 和避坑信息按需展开。

1. 1

   Web Security 导论与攻击面识别

   建立课程全景：为什么现代 web systems 的安全问题不仅来自单点漏洞，而是来自实现、部署、会话管理、第三方依赖和运营流程的组合。第一周通常会把常见攻击面画清楚，为后续 OWASP 主题打基础。

2. 2

   Injection 与输入处理失败

   进入最经典的一类 web vulnerability：当输入验证、拼接查询或命令构造处理不当时，攻击者如何借此操控后端行为。课程重点通常不仅是识别 injection，还会讨论 parameterisation、sanitisation 和 secure coding 的边界。

3. 3

   Cross-Site Scripting (XSS)

   系统理解 XSS 的不同形态，以及浏览器、模板渲染、DOM 操作和输出编码之间的关系。真正的难点往往不是背定义，而是判断为什么某个页面在特定数据流下会变成可执行脚本的入口。

4. 4

   Session Hijacking 与 Authentication Weaknesses

   讨论 session management、cookie handling、token misuse 和身份验证设计不当如何让攻击者接管账户。课程通常会把攻击原理和 secure session design 一起讲，而不是只给 checklist。

5. 5

   CSRF 与 Assignment Part 1

   分析 cross-site request forgery 的成因，以及浏览器默认行为、用户会话和服务端信任模型为什么会共同制造风险。课程在这一阶段通常会要求你在 assignment 中实际识别并修复一个或多个漏洞。

6. 6

   Input Validation, Sanitisation 与 Secure Development

   从具体漏洞回到更通用的防御原则：什么样的输入验证才算有效，什么时候需要 encode、什么时候需要 sanitise、什么时候应改变系统设计本身。这里往往是“漏洞修补”与“安全工程”之间的分水岭。

7. 7

   Distributed Denial of Service 与可用性防护

   把焦点从 confidentiality 和 integrity 扩展到 availability。课程会讨论 DDoS 的基本思路、资源耗尽攻击面以及为什么某些缓解策略在真实业务场景中成本很高。

8. 8

   Assignment Part 2 与 Penetration Testing

   完成第一大项作业的第二部分，并进入 penetration testing 的方法与边界。重点不仅是如何发现问题，还包括测试授权、范围界定、证据保存和与客户/组织沟通的流程。

9. 9

   Automated Vulnerability Scanning

   讨论自动化扫描工具的能力和局限，理解为什么 scanner 可以提高覆盖率，却不能替代人工分析。你需要学会区分真正高风险问题、低质量警报和环境误报。

10. 10

    Web Application Firewalls 与 Defense in Depth

    从系统层面看 web 防护，分析 WAF、规则、监控和纵深防御策略的实际作用。课程通常会强调：WAF 不是替代安全编码，而是防线体系中的一环。

11. 11

    Ethical Disclosure 与 Legal Constraints

    官方 aims 和 indicative content 都点到 ethical challenges in evaluating security and disclosing vulnerabilities。这里会讨论 responsible disclosure、研究伦理、法律边界和职业责任，这也是 web security 课程最容易被忽略但很重要的一块。

12. 12

    Final Assignment 与 Exam Prep

    最后一周通常围绕最终 programming-based assignment 和期末考试复习展开。高效复习的方法不是继续背漏洞名词，而是反复练习“漏洞机制-利用路径-缓解策略-残余风险”这条分析链。