Web Application Security

• 了解基本的Web应用程序架构
• 具备使用Java、C#、PHP或JavaScript等编程语言的经验
• 熟悉客户端-服务器通信和HTTP

受众

• 开发者
• Web应用程序架构师
• 注重安全的技术团队

Web Application Security 是保护线上应用程序免受现代安全威胁和漏洞影响的学科，包括那些与平台无关并影响核心应用程序架构和输入处理的问题。

本课程为讲师引导的培训（线上或线下），面向中级开发者，旨在帮助他们理解并应用安全编码技术，以减轻Web漏洞并实施稳健的Web应用程序安全。

通过本课程，学员将能够：

• 理解安全、IT安全及安全编码的基本概念。
• 学习OWASP十大漏洞之外的Web漏洞，并掌握如何避免它们。
• 学习客户端漏洞及安全编码实践。
• 对密码学有实际理解。
• 理解Web服务的安全概念。
• 获得使用安全测试工具的实践经验。
• 获取安全编码实践的参考资料和进一步阅读材料。

课程形式

• 互动讲座与讨论。
• 大量练习与实践。
• 在实时实验环境中进行动手操作。

课程定制选项

• 如需为本课程定制培训，请联系我们安排。

IT安全与Secure Coding

• 信息安全原则概述
• CIA三要素：机密性、完整性、可用性
• 常见威胁与威胁建模
• 安全软件开发生命周期（SSDLC）的最佳实践

Web Application Security

• 理解OWASP十大漏洞及更多
• 认证与会话管理漏洞
• 注入漏洞（SQL、命令、LDAP等）
• 跨站脚本攻击（XSS）与跨站请求伪造（CSRF）

客户端安全

• 基于DOM的攻击与JavaScript特定风险
• AJAX与浏览器存储的不安全使用
• 点击劫持与UI伪装
• 内容安全策略（CSP）的实施

实用Crypto密码学

• 基本概念：哈希、加密、数字签名
• 公钥与对称密钥密码学
• 传输层安全性（TLS）基础
• 密钥管理与常见加密错误

Web Services的安全

• SOAP与REST的安全考量
• 认证机制：OAuth、JWT、API密钥
• 常见Web服务攻击与防御
• 服务有效负载中的输入验证

XML安全

• XML注入与解析攻击
• 实体扩展与XXE漏洞
• 安全解析技术与库
• 使用XML安全标准（XML-DSig、XML-Enc）

知识来源与安全工具

• 推荐的安全测试工具（例如OWASP ZAP、Burp Suite）
• 代码扫描与分析工具
• 线上资源与安全指南
• 如何跟踪新兴威胁

总结与下一步