白帽子讲Web安全（纪念版）

《白帽子讲Web安全》算得上Web安全入门的必读书，说是圣经也不算夸张。2023年的第二版明显下了功夫——XSS、SQL注入这些经典攻防还在，API安全、云安全、业务逻辑漏洞这些近十年才成气候的攻击面也补齐了，整体比第一版贴近现在的实战。平时查资料学得零散，这本书难得把攻防原理、安全开发到企业安全建设的知识串成一条线。当然，每个方向讲得不算深，真想深入还得找专题资料。书里虽然已经提到大模型在安全上的应用，但2023年那会儿的技术离现在差得远；眼下这批模型在代码审计、漏洞挖掘、攻防对抗上的进步，才是接下来更值得花时间跟进的。 PS：微信读书没有第二版，最后还是买实体书看的

书中介绍了一些常见的web安全问题，从技术角度来看这本书并不优秀。 对于拓宽知识面来说，是一本优秀的书，从道的角度来阐述web安全是什么，为什么，怎么样。

通读下来，初有醍醐灌顶之感，有一种安全原来是这样的感觉，随着书中内容的展开，看到很多具体的安全案例与自己工作相关的地方又深感庆幸，幸好有框架😄，最后我想也是本书要表达的核心观点：安全是什么？Find and fix、Defend and defer、Secure at source

作者功力深厚，每一章都是满满的干货，从细微之处一步步引申到宏观层面，循循善诱，毫不枯燥。文章逻辑很顺畅，被作者带着思考安全的更深层次，整本书读下来收获很大，从安全知识的深度上发觉到自己的单薄，从安全架构上也有了新的认识，十分推荐这本书。

讲了一些常见案例，和大概的安全思路。真正做安全，还有太多要深入的地方。作为普及，建议技术人员都可以看一下，有些基本概念

确实不错，作者理论扎实，视野开阔，有高度有深度。除了信息安全人员可以学习参考外，Web研发（尤其是架构师、技术负责人、PM等实际技术决策人）人员如果能认真阅读，即便本书出版于2011年，依然很有参考价值。

写的很全面，虽然很久的内容了，思维却依旧还在

非常适合web安全的学习，需要一定的代码能力，建议先学习html,css,javascript,php，但并不影响整体阅读，向大佬致敬。

对于缺乏安全方面系统认知的同学，是非常好的参考书。通俗易懂;不乏深度和广度;思路清晰;整体结构明朗;案例丰富;有的结论很好的体现了哲学思想对生产生活的实际应用。反映了作者丰富的经验，扎实的基础和已经形成系统的知识体系。从C端(B端)，S端以及产品互联网研发中三种重要的组成的角度分别介绍了什么是安全?为什么要做安全?以及如何做好安全的问题？等。对前后端研发以及产品经理都有很高的参考价值(第一章我认为每个人都应该看，而后续三章我认为研发人员应该全部阅读，而产品则必须阅读最后一章，公司业务方面的安全。

此书讲述关于网络安全相关书籍，对于向我这样想了解黑客到底如何利用网站漏洞对站点进行攻击，有很多丰富的实例。很适合互联网的开发者，按照不同的漏洞类型进行了分类。 针对每个漏洞类型，阐述了基本概念、业界的惨痛教训、如何防范的基本技巧，不局限于某种语言，某种浏览器。同时对于互联网公司进行安全方面的维护和运营也阐述了相关的可以使用的经验。 作者对于安全的看法，“白帽子兵法”在开发者结合自身的实际开发情况研究防范措施有很好的指导作用，包括了 1 Secure by Default 2 纵深防御，在正确的地方进行防御，“木桶理论”，设计安全方案要采用不同作用的安全方案，避免出现安全短板。 3 数据与代码分离的原则。 4 不可预见性原则。 最后， “安全是一门朴素的学问, 是一种平衡的艺术”。