Java代码审计知识框架

Java 代码审计不是“会写 Java 就能做”的事，它要求你从攻击者视角读代码，在别人写的业务逻辑里找到能被执行、被利用的漏洞。这门课解决的就是这个场景：当你拿到一个 Java 项目源码，怎么快速建立审计框架，知道该看哪些文件、哪些语法特性容易出问题、哪些框架自带常见漏洞，以及用什么工具辅助定位。

这门课适合什么基础

如果你已经写过 Java 代码，知道类、接口、反射、注解这些概念，但没系统做过安全方向，那这门课是合适的起点。它不会从零教你 Java 语法，而是把 Java 语言特性与漏洞成因对应起来讲，比如反序列化、表达式注入、动态代理这些机制为什么危险。如果你刚转行，只懂一点 Java 基础，建议先补一下 Servlet、Spring 的基础用法，再来看这门课，不然部分框架漏洞的上下文会接不上。

如果你是做渗透测试但没接触过 Java 源码，这门课也能帮你补上代码审计这一环，尤其是它讲到的 OWASP TOP10 在 Java 中的具体表现形式，会比只背漏洞列表实用得多。

建议先看哪几块

不要按顺序从头看到尾。先看第 1 章前几节，尤其是“Java 代码审计学习心得体会”和“Java 基础需要学什么”，这两节会帮你建立正确的学习心态和知识边界——知道哪些 Java 基础是审计必须的，哪些可以暂时跳过。接着看“Java 语言特性”和“OWASP TOP10 漏洞”，这两节是后续所有内容的骨架：语言特性决定漏洞的“土壤”，OWASP 是漏洞的“地图”。然后再看“Java 有哪些框架？有哪些漏洞？”这一节，它把常见框架的漏洞类型串起来，让你知道审计时优先盯哪些组件。

至于“Java 代码审计工具”上下两节，建议放到最后看。工具是用来辅助定位的，不是学习的主线。先理解漏洞原理，再学工具怎么用，不然很容易变成“会点工具但看不懂代码”。

学完能独立做什么

学完这套框架后，你能独立做一件具体的事：拿到一个中等规模的 Java Web 项目源码，先看 pom.xml 或 build.gradle 里引入了哪些依赖，判断版本是否过老；再定位入口 Controller 和 Service 层，检查参数是否被直接拼接进 SQL、是否被反序列化、是否未做权限校验；最后用工具跑一遍静态扫描，结合人工判断确认漏洞是否真实可利用。你也能在面试或工作中，对“Java 代码审计怎么入手”这个问题给出清晰的回答，而不是只说“找注入”或“看框架漏洞”。

不过要说明，这门课是“知识框架”，不是“漏洞百科全书”。它不会覆盖所有 CVE 细节，但能给你一套可复用的审计路径。资料包里的课程目录只是线索，实际学习时建议配合练习：每学完一个语言特性或框架漏洞，就找一段真实开源代码（比如旧版 Spring 示例）自己审一遍，对照课程讲的风险点做标记。工具课之后，用工具扫描同一个项目，看结果是否和你的判断一致。这样循环几次，框架才真正变成你自己的能力。