白帽子講Web安全（紀念版）

《白帽子講Web安全》算得上Web安全入門的必讀書，說是聖經也不算誇張。2023年的第二版明顯下了功夫——XSS、SQL注入這些經典攻防還在，API安全、雲安全、業務邏輯漏洞這些近十年才成氣候的攻擊面也補齊了，整體比第一版貼近現在的實戰。平時查資料學得零散，這本書難得把攻防原理、安全開發到企業安全建設的知識串成一條線。當然，每個方向講得不算深，真想深入還得找專題資料。書裏雖然已經提到大模型在安全上的應用，但2023年那會兒的技術離現在差得遠；眼下這批模型在代碼審計、漏洞挖掘、攻防對抗上的進步，纔是接下來更值得花時間跟進的。 PS：微信讀書沒有第二版，最後還是買實體書看的

書中介紹了一些常見的web安全問題，從技術角度來看這本書並不優秀。 對於拓寬知識面來說，是一本優秀的書，從道的角度來闡述web安全是什麼，爲什麼，怎麼樣。

通讀下來，初有醍醐灌頂之感，有一種安全原來是這樣的感覺，隨着書中內容的展開，看到很多具體的安全案例與自己工作相關的地方又深感慶幸，幸好有框架😄，最後我想也是本書要表達的核心觀點：安全是什麼？Find and fix、Defend and defer、Secure at source

作者功力深厚，每一章都是滿滿的乾貨，從細微之處一步步引申到宏觀層面，循循善誘，毫不枯燥。文章邏輯很順暢，被作者帶着思考安全的更深層次，整本書讀下來收穫很大，從安全知識的深度上發覺到自己的單薄，從安全架構上也有了新的認識，十分推薦這本書。

講了一些常見案例，和大概的安全思路。真正做安全，還有太多要深入的地方。作爲普及，建議技術人員都可以看一下，有些基本概念

確實不錯，作者理論紮實，視野開闊，有高度有深度。除了信息安全人員可以學習參考外，Web研發（尤其是架構師、技術負責人、PM等實際技術決策人）人員如果能認真閱讀，即便本書出版於2011年，依然很有參考價值。

寫的很全面，雖然很久的內容了，思維卻依舊還在

非常適合web安全的學習，需要一定的代碼能力，建議先學習html,css,javascript,php，但並不影響整體閱讀，向大佬致敬。

對於缺乏安全方面系統認知的同學，是非常好的參考書。通俗易懂;不乏深度和廣度;思路清晰;整體結構明朗;案例豐富;有的結論很好的體現了哲學思想對生產生活的實際應用。反映了作者豐富的經驗，紮實的基礎和已經形成系統的知識體系。從C端(B端)，S端以及產品互聯網研發中三種重要的組成的角度分別介紹了什麼是安全?爲什麼要做安全?以及如何做好安全的問題？等。對前後端研發以及產品經理都有很高的參考價值(第一章我認爲每個人都應該看，而後續三章我認爲研發人員應該全部閱讀，而產品則必須閱讀最後一章，公司業務方面的安全。

此書講述關於網絡安全相關書籍，對於向我這樣想了解黑客到底如何利用網站漏洞對站點進行攻擊，有很多豐富的實例。很適合互聯網的開發者，按照不同的漏洞類型進行了分類。 針對每個漏洞類型，闡述了基本概念、業界的慘痛教訓、如何防範的基本技巧，不侷限於某種語言，某種瀏覽器。同時對於互聯網公司進行安全方面的維護和運營也闡述了相關的可以使用的經驗。 作者對於安全的看法，“白帽子兵法”在開發者結合自身的實際開發情況研究防範措施有很好的指導作用，包括了 1 Secure by Default 2 縱深防禦，在正確的地方進行防禦，“木桶理論”，設計安全方案要採用不同作用的安全方案，避免出現安全短板。 3 數據與代碼分離的原則。 4 不可預見性原則。 最後， “安全是一門樸素的學問, 是一種平衡的藝術”。