Java代码审计（JavaWeb核心技术）

这门课解决什么工作场景

Java代码审计解决的核心场景，是在不破坏业务运行的前提下，把一个JavaWeb工程的源码拆开看：哪些接口存在SQL注入、文件上传绕过、反序列化或越权，哪些安全过滤器形同虚设。比起黑盒打点，它更像是拿着源码做体检。很多做安全测试的人卡在Java这一关，是因为看不懂Servlet和Filter的执行链，拿到代码只能全局搜关键字，搜不到危险函数就直接放弃。这门课的切入点正是这块短板：先把JavaWeb的请求处理路径讲透，再顺着路径找漏洞。它不教你写复杂的利用链，也不保证能挖到多高级别的漏洞，但能让你在面对一个陌生Spring或原生Servlet工程时，不再无从下手，而是知道该从哪里下断点、该看哪一段代码。

适合什么基础，学完能独立做什么

这门课要求你已经能看懂基础Java语法，写过简单程序，但不需要你做过完整Web开发。如果你完全没碰过Java，建议先补到能看懂类、接口、注解再来看。课程从JDK多版本管理和IDEA配置Maven讲起，这部分对转行过来、本地环境总是报错的人很实用，能帮你避开依赖下载失败导致的劝退。核心内容围绕Servlet生命周期、四大域对象、Filter装饰模式展开，这些是JavaWeb的底层骨架，也是很多老项目还在用的东西。学完后，你应该能独立把一个JavaWeb工程跑起来，跟踪一次HTTP请求从进来到出去经过哪些组件，判断参数在哪里被过滤、哪里被直接拼接，从而定位潜在风险点。它不让你变成开发，但让你具备读代码找问题的基本能力。

建议先看哪几块，资料怎么配合练习

建议先过环境搭建部分，哪怕本地已有JDK，也花半小时跟着配一遍Maven，因为跑开源靶场项目时，依赖问题最容易卡壳。然后重点看Servlet四大域对象和Filter这两节，它们是理解后续审计逻辑的基础。Filter那节讲到装饰模式过滤HTTP参数，这个思路在真实项目里反复出现，看懂它，再去读别人的安全过滤器会快很多。练习方式上，建议不要只看视频，找一套开源JavaWeb靶场，跟着课程把断点打在Filter入口和Servlet处理方法上，观察request对象里的参数怎么被传递和修改。课程资料里的示例代码直接用IDEA打开跟练，比单纯听讲有效。审计本质是读代码的肌肉记忆，不练手等于没学。