Web 安全学习路线 | 26 年最新零基础到精通一条龙（万人收藏⭐️）
编程导航学习网站：学编程、做项目、拿 Offer！
企业高频面试题库：开始刷题，面试遇原题！
精选简历模板大全：1 分钟搞定简历！
AI 资源导航网站：获取最新 AI 黑科技！
1 对 1 模拟面试：随时随地提升面试能力
Web 安全求职高频面试题：开始刷题
开篇介绍
Web 安全是网络安全领域最重要的分支之一。随着互联网的快速发展，Web 应用已经成为企业和个人的主要服务载体，从电商平台到社交网络，从在线支付到企业管理系统，Web 应用无处不在。但与此同时，Web 应用也面临着各种安全威胁，SQL 注入、XSS 攻击、CSRF 攻击等漏洞层出不穷，给用户数据和企业资产带来巨大风险。
Web 安全是指保护 Web 应用和网站免受恶意攻击的技术和实践。
它涵盖了从前端到后端、从网络到数据库的全方位安全防护。学习 Web 安全，不仅能够帮助你发现和修复应用中的安全漏洞，还能提升你对 Web 技术的理解深度。
为什么要学 Web 安全？
首先，Web 安全人才需求旺盛。根据 OWASP 2025 年的报告，Web 应用漏洞依然是最常见的安全威胁之一，企业对 Web 安全人才的需求持续增长。其次，Web 安全技能是开发者的必备能力。即使你不从事专职安全工作，了解 Web 安全知识也能帮助你编写更安全的代码，避免引入安全漏洞。而且 Web 安全是一个充满挑战和成就感的领域，每次发现和修复漏洞都能带来极大的满足感。
Web 安全的核心价值在于保护用户数据和企业资产。通过发现和修复安全漏洞，可以防止数据泄露、防止恶意攻击、保护用户隐私、维护企业声誉。Web 安全技术广泛应用于各种场景，包括企业网站安全加固、电商平台支付安全、社交网络用户隐私保护、政府机构信息安全、金融系统风险防控等。
就业方向
学习 Web 安全可以从事多个方向的工作：
- Web 安全工程师：负责 Web 应用的安全测试、漏洞挖掘和修复，保障 Web 应用的安全性。
- 渗透测试工程师：模拟黑客攻击，对 Web 应用进行安全评估，发现潜在的安全风险。关于渗透测试的详细学习，可以查看 渗透测试学习路线
- 安全开发工程师：在开发过程中注重安全编码，编写安全的 Web 应用代码。关于安全开发的详细学习，可以查看 安全开发学习路线
- 漏洞研究员：深入研究 Web 漏洞原理，发现新的漏洞类型，提供安全解决方案。
- 安全运维工程师：负责 Web 应用的安全监控、日志分析和应急响应。
学习路线图
阶段 1：网络安全基础（10-20 天，仅供参考）
学习目标
了解网络安全的基本概念，掌握计算机网络基础知识，为 Web 安全学习打下基础。
知识点
网络安全基础概念【必学】：
- 信息安全三要素（CIA）
- 机密性（Confidentiality）
- 完整性（Integrity）
- 可用性（Availability）
- 常见攻击类型
- 安全防护思路
计算机网络基础【必学】：
- HTTP/HTTPS 协议
- TCP/IP 协议
- DNS 解析
- Cookie 和 Session
编程基础【必学】：
- HTML/CSS/JavaScript 基础
- 至少掌握一门后端语言（Python、Java、PHP 等）
- SQL 数据库基础
Linux 基础【建议学】：
- 常用 Linux 命令
- 文件权限管理
- Shell 脚本基础
学习建议
1）Web 安全需要一定的基础知识储备，不要急于求成。如果你完全零基础，建议先学习 HTML、JavaScript 和一门后端语言（推荐 Python 或 Java），了解 Web 应用的工作原理。
2）计算机网络是 Web 安全的重要基础。
重点掌握 HTTP 协议，包括请求方法、响应状态码、请求头和响应头等。理解 Cookie、Session 的工作机制，这对后续学习 Web 漏洞非常重要。
3）建议多动手搭建一些简单的 Web 应用，比如用 Python Flask 写一个登录系统，用前端技术写一个留言板。在搭建过程中，你会对 Web 应用的工作流程有更深的理解。
4）Linux 是安全测试的常用环境，建议安装一个 Linux 虚拟机（推荐 Kali Linux 或 Ubuntu），熟悉基本操作。
学习资源
- ⭐ 编程导航 - 计算机网络学习路线：完整的网络基础学习路线
- ⭐ 黑马程序员 Web 前端入门教程：前端基础入门，适合零基础
- 尚硅谷 Python 基础教程：Python 编程基础
阶段 2：Web 安全基础（15-30 天，仅供参考）
学习目标
掌握 OWASP Top 10 常见 Web 漏洞，理解漏洞原理和利用方式，能够进行基础的 Web 安全测试。
知识点
OWASP Top 10【必学】：
- SQL 注入（SQL Injection）
- 数字型注入
- 字符型注入
- 盲注（布尔盲注、时间盲注）
- 联合查询注入
- 跨站脚本攻击（XSS）
- 反射型 XSS
- 存储型 XSS
- DOM 型 XSS
- 跨站请求伪造（CSRF）
- 文件上传漏洞
- 文件包含漏洞
- 命令执行漏洞
- 越权漏洞（水平越权、垂直越权）
- 敏感信息泄露
Web 安全工具【必学】：
- Burp Suite（抓包和漏洞测试）
- 浏览器开发者工具
- SQLMap（SQL 注入自动化工具）
安全测试方法【必学】：
- 信息收集
