Web Application Security

• 了解基本的Web应用程序架构
• 具备使用Java、C#、PHP或JavaScript等编程语言的经验
• 熟悉客户端-服务器通信和HTTP

受众

• 开发者
• Web应用程序架构师
• 注重安全的技术团队

Web Application Security 是保护线上应用程序免受现代安全威胁和漏洞影响的学科，包括那些与平台无关并影响核心应用程序架构和输入处理的问题。

本课程为讲师引导的培训（线上或线下），面向中级开发者，旨在帮助他们理解并应用安全编码技术，以减轻Web漏洞并实施稳健的Web应用程序安全。

通过本课程，学员将能够：

• 理解安全、IT安全及安全编码的基本概念。
• 学习OWASP十大漏洞之外的Web漏洞，并掌握如何避免它们。
• 学习客户端漏洞及安全编码实践。
• 对密码学有实际理解。
• 理解Web服务的安全概念。
• 获得使用安全测试工具的实践经验。
• 获取安全编码实践的参考资料和进一步阅读材料。

课程形式

• 互动讲座与讨论。
• 大量练习与实践。
• 在实时实验环境中进行动手操作。

课程定制选项

• 如需为本课程定制培训，请联系我们安排。

IT安全與Secure Coding

• 信息安全原則概述
• CIA三要素：機密性、完整性、可用性
• 常見威脅與威脅建模
• 安全軟件開發生命週期（SSDLC）的最佳實踐

Web Application Security

• 理解OWASP十大漏洞及更多
• 認證與會話管理漏洞
• 注入漏洞（SQL、命令、LDAP等）
• 跨站腳本攻擊（XSS）與跨站請求偽造（CSRF）

客戶端安全

• 基於DOM的攻擊與JavaScript特定風險
• AJAX與瀏覽器存儲的不安全使用
• 點擊劫持與UI偽裝
• 內容安全策略（CSP）的實施

實用Crypto密碼學

• 基本概念：哈希、加密、數字簽名
• 公鑰與對稱密鑰密碼學
• 傳輸層安全性（TLS）基礎
• 密鑰管理與常見加密錯誤

Web Services的安全

• SOAP與REST的安全考量
• 認證機制：OAuth、JWT、API密鑰
• 常見Web服務攻擊與防禦
• 服務有效負載中的輸入驗證

XML安全

• XML注入與解析攻擊
• 實體擴展與XXE漏洞
• 安全解析技術與庫
• 使用XML安全標準（XML-DSig、XML-Enc）

知識來源與安全工具

• 推薦的安全測試工具（例如OWASP ZAP、Burp Suite）
• 代碼掃描與分析工具
• 線上資源與安全指南
• 如何跟蹤新興威脅

總結與下一步