如果你对 Web 安全的印象还停留在「装个虚拟机、跑几个工具」，这门课会先把你拉回到更基础的位置：一个网站是怎么跑起来的，攻击面从哪里来，CTF 题目里的那些「奇怪现象」对应到真实环境里是什么。它不承诺学完就能挖漏洞，但能帮你把后面所有 Web 安全内容的地基打清楚。

它解决的是「看不懂题目、也看不懂网站」的问题

很多初学者卡住，不是因为不会用工具，而是拿到一个 URL 不知道从哪看起。这门课从 Web 基本概念切入，把请求与响应、服务端与客户端、动态页面与静态页面的区别讲清楚，然后落到「自己动手搭一个网站」这件事上。搭站不是为了当运维，而是让你知道一个页面背后有哪些组件在参与，哪些地方可能被输入影响、哪些地方会回显、哪些地方藏着不该被看到的东西。之后再看 CTF 里的 Web 题，你至少能判断它在考什么方向，而不是对着页面乱试。

网站敏感信息：CTF 和真实工作里都绕不开的一环

课程把「网站敏感信息」单独拎出来讲，这一点比较务实。CTF 中常见的源码泄露、备份文件、注释残留、目录暴露、报错信息带出的路径与配置，本质上都是信息暴露问题。放到日常工作中，这类问题同样是最常见的低门槛风险之一——不需要多高深的技术，只要开发或部署时疏忽，就可能把不该公开的东西留在公网上。这门课会带你看这些信息通常藏在哪、以什么形式出现、如何判断一条线索值不值得深挖。学完这部分，你拿到一个站点时至少知道该先翻哪些地方。

从 CTF 角度切入，但不止于比赛

课程定位是 CTF 方向的 Web 安全入门，好处是目标明确、反馈快。CTF 题目通常把某个知识点压缩成一道小题，做出来就说明你理解了那个点，做不出来也能快速暴露自己缺哪一块。这种训练方式比漫无目的地看文章效率高。但需要说明的是，CTF 题和真实业务系统的复杂度差距很大，比赛里踩中的点在实际环境中往往被层层防护和业务逻辑包裹。所以这门课更适合当作「建立概念和手感」的第一站，而不是终点。想往渗透测试或安全开发方向走，后面还需要补 HTTP 协议细节、常见漏洞原理、代码审计基础等内容。

适合什么基础的人学

完全没接触过 Web 安全，但会用浏览器、知道网址和页面的关系，可以跟。
参加过 CTF 但 Web 方向基本靠搜题解，这门课能帮你把零散的知识点串起来。
有开发经验、想转安全方向的人，搭站和敏感信息两部分会过得比较快，重点看 CTF 视角的切入方式。
如果已经能独立完成中等难度的 Web 题，或者熟悉常见漏洞的利用链，这门课的内容偏基础，不必重复投入时间。

怎么用这份资料

建议按「概念—搭站—找信息」的顺序走，不要跳着看。搭站环节最好自己完整做一遍，遇到报错别急着跳过，排错过程本身就是理解 Web 运行机制的过程。敏感信息部分可以边学边拿一些公开的练习靶场对照，把课上讲的位置类型在真实页面里找一遍。每学完一块，回头找一两道对应的 CTF 入门题练手，做完再回看课程内容，会比只看不练扎实很多。整门课节奏不快，适合每天固定投入一点时间，边看边动手，而不是一口气刷完。