hjosugi/learning-security-labs

# 学习安全实验室 关于道德黑客、安全编码、Web 安全测试、威胁建模和防御性安全的实验室。 最后验证：2026-06-20 ## 安全边界 此仓库仅用于经过授权的、本地的、教育性的安全练习。 允许： - 本地的易受攻击的训练应用 - 你自己的应用程序 - 专门创建的实验环境 - 防御性测试和验证 - 安全编码笔记 不允许： - 扫描或攻击第三方系统 - 绕过真实服务的访问控制 - 窃取凭证 - 持久化、隐蔽或恶意软件 - 针对真实世界滥用的指导 ## 本仓库的教学内容 本仓库旨在学习基于攻击者视角的防御工程，且不跨越授权边界。 每个实验都应明确以下部分： - 授权范围 - 目标环境 - 测试目标 - 待收集的证据 - 预期的发现格式 - 修复方案 - 修复后的验证 - 明确排除在范围之外的内容 ## 学习路径 1. 安全思维与法律边界 2. OWASP Top 10 意识 3. OWASP Web 安全测试指南工作流 4. 本地实验室中的身份验证与会话测试 5. 输入验证与注入预防 6. 访问控制测试 7. 依赖项与密钥扫描 8. 威胁建模与安全设计审查 9. 报告：发现、影响、复现、修复 ## 实验规则 - 默认目标是 `localhost`。 - 优先使用故意设计为易受攻击的训练应用，或在此仓库中创建的小型应用。 - 工具输出应裁剪为有用的证据，而不是全部直接倾倒。 - 禁止使用真实的凭证、真实的 token、生产域名或私有目标。 - 每个实验都必须包含防御性修复或验证步骤。 ## 规划的结构 ``` labs/ local-web-security/ auth-session-lab/ access-control-lab/ dependency-scanning/ docs/ 2026-learning-items.md lab-strategy.md legal-safety-boundaries.md repository-profile.md ``` ## 应归属于其他地方的内容 - 通用平台安全清单应归属于 `learning-platform-engineering` - 生产事故/运行手册笔记不应放在公开的实验仓库中 - P2P 抗滥用设计应归属于 `learning-platform-engineering` - 后端实现修复可以镜像到 `learning-backend-ddd` ## 首批里程碑 1. 添加一个带有明确法律/范围声明的本地易受攻击的 Web 实验室。 2. 添加仅针对 localhost 的 ZAP 基线扫描。 3. 添加身份验证/会话实验室。 4. 添加访问控制实验室。 5. 添加依赖项和密钥扫描示例。 6. 添加漏洞报告模板。 ## 参考资料 - OWASP Top 10: https://owasp.org/www-project-top-ten/ - OWASP Web 安全测试指南: https://owasp.org/www-project-web-security-testing-guide/ - OWASP ASVS: https://owasp.org/www-project-application-security-verification-standard/ - ZAP 文档: https://www.zaproxy.org/docs/

标签：Web安全, 学习资源, 安全培训, 安全靶场, 网络安全, 蓝队分析, 隐私保护