软件测试视频教程之安全测试SecurityTesting（www.365cmd.com）

如果你在软件测试岗位做了一两年，功能测试、接口测试都能上手，但一遇到「安全测试」四个字就不知道从哪下手——招聘 JD 里写着「熟悉 OWASP Top 10」「有安全测试经验优先」，你却连一个 SQL 注入该在哪里验证、怎么判断是否真实可利用都说不清楚，那这套安全测试视频教程值得你花时间看一遍。它不是安全工程师的渗透课，而是站在测试岗角度，把安全测试拆成能执行的动作。

它解决的是测试岗的真实处境

很多公司没有专职安全团队，安全测试的活最终落到测试头上。你被要求上线前「扫一下有没有漏洞」，手里只有扫描器，出来的报告满屏英文告警，哪些是真问题、哪些是误报、该怎么复现给开发看，全靠猜。这套资料针对的正是这个环节：把常见 Web 安全风险放回测试流程里讲——从需求评审阶段怎么提安全要求，到测试用例怎么设计，再到发现问题后如何描述、定级、跟踪修复。它训练的是「测试视角的安全验证」，而不是让你去当攻击者。

学完能独立完成的几件事

• 对登录、注册、找回密码、支付、文件上传等典型功能，独立设计安全测试用例并执行。
• 用抓包工具改写请求参数，验证越权访问、参数篡改、水平/垂直权限缺失这几类高频问题。
• 判断 SQL 注入、XSS、CSRF 在具体业务场景下是否真的成立，而不是照搬扫描器结论。
• 把发现的安全问题写成开发能复现的缺陷单，附请求报文、影响范围和修复建议。

注意这里的边界：它不教你写自动化攻击脚本，也不覆盖代码审计和服务器加固。如果你的目标是转岗安全工程师，这套资料不够；如果目标是让现有测试工作多出一块安全能力，它的范围刚好。

资料结构和适合的基础

内容按漏洞类型和测试场景组织，视频讲解配合章节笔记，方便回看时定位到具体验证步骤。它的节奏偏「边讲边操作」，所以不适合完全零基础：你至少得看得懂 HTTP 请求和响应，知道 GET 和 POST 的区别，会在浏览器里按 F12 看网络请求。会一点数据库查询语句、了解 Session 和 Cookie 机制，学起来会顺很多。如果这些还没有，先补接口测试基础，再回来看安全部分，否则容易变成看演示懂、自己动手就卡住。

怎么用这套资料更划算

建议不要一口气刷完。每看完一类漏洞，就找自己公司或一个开源靶场环境，把同样的测试动作走一遍，重点记录三件事：触发条件、验证成功的判断依据、修复后的复测方法。这三样写进笔记，才是你自己的东西。面试被问到「你做过哪些安全测试」时，能讲清楚一个真实验证过的越权或注入案例，比背十条 OWASP 条目管用得多。

最后说清楚：安全测试能力在测试岗里属于加分项，不是转行捷径。它不能帮你直接跳到安全岗，但能让你在当前岗位上从「只会点页面」变成「能发现别人发现不了的问题」。如果你的日常工作已经开始涉及上线安全检查，或者你想在简历里补上这一块，这套资料的投入产出比是合理的；如果只是想看看热闹，那不如先把接口测试和抓包练熟。