SCA接进流水线后先解决的三件事
依赖扫描最容易「一直在扫、从没拦住」。记下 dependency-check 默认门禁值等于没门、NVD 数据源与缓存该怎么配，以及锁文件和可达性对结果的影响。
阅读全文
TOPIC / SECURITY
安全测试
从 Web 漏洞、渗透测试到代码审计与 DevSecOps，记录攻击面、验证方法与修复建议。
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
CodeQL和Semgrep在流水线里怎么分工
CodeQL 要建库、Semgrep 直接扫源码，输入就不是一回事。记下两者的分工边界、CodeQL 的语言与许可限制，以及多个 SARIF 汇到一处时的 category 与体积上限。
阅读全文把团队踩过的坑写成Semgrep规则
注册表规则集扫不出团队反复犯的那个错。从一条能跑的规则写起，记下 semgrep scan 与 semgrep ci 的区别、增量基线为什么总在 CI 里中止、以及 nosemgrep 该怎么管。
阅读全文SonarQube质量门禁为什么卡不住PR
扫描跑完了、报告也有了，MR 照样能合。把 SonarQube 门禁真正接进流水线要补四处：等待异步结果、设对 New Code、接上 PR 装饰、排除生成代码。
阅读全文DevSecOps与安全测试左移
从威胁建模到 DAST 的流水线卡点、可复制的 GitHub Actions 配置、门禁分级与误报治理，附三个落地上线即失败的真实原因。
阅读全文业务逻辑漏洞测试清单
支付金额篡改、优惠券叠加、验证码与找回密码、幂等与并发超卖的真实攻击链，附复现脚本、判定证据与 Java 修复代码。
阅读全文Java代码审计入门
以 Source-Sink 为主线审计 Java 项目：命令注入、SQL 拼接、反序列化、XXE、路径穿越、SpEL 的真实代码与修复，附 Semgrep/CodeQL 规则与 PoC 验证方法。
阅读全文SSRF与文件上传漏洞测试
SSRF 的服务端代码根因、IP 黑名单绕过清单、gopher 打 Redis 的完整链路；文件上传的后缀解析、内容检测绕过与 Nginx/Tomcat 解析复现。
阅读全文CSRF与越权测试
CSRF 的四种可绕过场景与 Token/SameSite/Origin 的逐层验证，越权（水平/垂直/IDOR/租户）的对照实验方法、批量接口漏测点与 Spring Security 修复代码。
阅读全文Burp-Suite实战：代理、重放与扫描
Burp Suite 从装证书到抓不到包的排查、Repeater/Intruder/Turbo Intruder 实操、Android 7+ 证书信任与 SSL Pinning 绕过、Autorize 越权检测的完整流程。
阅读全文Java安全编码规范
从输入校验、注入防御到越权与并发，系统梳理 Java 开发中必须掌握的安全编码原则与常见漏洞的修复方式。
阅读全文SQL注入测试与防御验证
从 MyBatis ${} 到 ORDER BY 注入，给出各数据库 payload、sqlmap 实战参数与 Java 修复代码。
阅读全文信息收集与资产测绘
从子域枚举到 JS 接口提取，给出可复制的命令链、结果去重方法与误报判断。
阅读全文XSS跨站脚本测试与绕过
按 HTML、属性、JS、URL 四种上下文给出 payload 与编码代码，并用 CSP 与 DOMPurify 做纵深防御。
阅读全文渗透测试流程与授权边界
授权书、RoE、CVSS 定级、证据链与复测标准，把一次渗透测试做成可交付、可追责的工程。
阅读全文OWASP-Top-10-2021解读与测试要点
把 OWASP Top 10 2021 的十类风险拆成可复现的请求、可执行的命令和可判定的通过标准，而不是一份名词表。
阅读全文