为什么要学 Web 安全？
随着时代的发展，如今无论是国家还是企业，都十分重视网络安全，各种相关的岗位也随之出现。在拉勾网上搜“Web 安全”就能找到相关的岗位。
根据 HackerOne 的报告数据（下图），71％ 的安全问题都出现在网站上，其次是一些 API 接口，这些接口可能是 Web 的，也有可能是二进制软件的；再往下就是 iOS 与 Android 应用了。
可以说，网站安全攻防，也就是我们俗称的 Web 安全，占比通常达到了 80％以上。Web 安全是最受外部黑客关注的目标，也是企业应该重点防御的对象。
尽管 Web 安全如此重要，但我在面试一些渗透测试岗位的求职者时，发现多数人要么只懂得利用，不懂得防御，要么就是缺乏实战能力。
企业你是想让你来发现和解决安全问题的，如果不懂防御，又如何为企业提供相应的解决方案呢？更何况 Web 安全是一项注重实战的技能，如果缺乏实战能力，到了真被入侵的时候，根本就无法应对。
如果你想从事安全行业，或者是想从事前后端开发工作，学习 Web 安全知识能让你更有效地应对入侵问题，甚至是提前做好安全防护，防止安全事件的发生。
另外，学习 Web 安全相关的知识，不仅可以帮助你提升自己，还能赚取赏金。
国内外企业都有自建安全响应中心，用于接收外部报告漏洞；然后，依据漏洞危害等级和质量给予相应的赏金或礼品，比如 TSRC（腾讯安全应急响应中心）、MSRC（微软安全响应中心）。此外也有一些知名的第三方漏洞奖励平台，比如 HackerOne，上面经常会公开一些漏洞案例，非常有学习价值。
一开始想赚赏金是有些难度的，因为在上面挖漏洞的白帽子非常多，遇到报告相同漏洞的情况时（俗称“撞洞”），平台只会把赏金给到最早报告漏洞的人。如果你没有系统化的 Web 安全知识，只会用一句弹提示框的语句到处填写输入框，看是否会弹框，那基本是挖不到漏洞的。
我刚开始去国内 SRC（安全响应中心）平台赚赏金的时候，有点力不从心，很难挖到有价值的高危漏洞。我尝试购买了一些相关的书籍，但那些书大多是停留在理论知识上，没有提供实践操作的方法。后来即便挖到了一些漏洞，当厂商来问我一些具体的危害和修复建议（有助于提高厂商评估的奖金额度）时，我又经常答不上来。