安全测试入门要关注哪些点？

入门先掌握 OWASP 常见风险：注入——SQL 与命令注入，试单引号与拼接；XSS——输入框提交脚本看是否被执行；越权——水平改 ID 看他人数据、垂直用普通账号访问管理接口；敏感信息——响应里是否泄露手机号身份证、报错是否带堆栈。工具会用 Burp 抓包改包，扫描器做广度，手工验证深度。前提是拿到书面授权并在约定环境测试。

我在版本安全测试里的清单：鉴权矩阵——每个接口按角色画权限矩阵，挨个验证；输入信任边界——服务端必校验，前端校验只是体验；会话——Cookie 属性、Token 有效期与注销失效；依赖——第三方组件 CVE 扫描进 CI。产出按风险定级，附复现步骤与修复建议。曾拦下一个未鉴权的内部接口直接遍历用户信息的问题。

安全测试我强调威胁建模先于用例：识别资产——用户数据、资金、凭据；找信任边界——入口到内部服务的每条跨越；按 STRIDE 推导威胁再映射测试。执行上分层：自动化覆盖已知模式（扫描器、依赖审计、密钥扫描），手工聚焦业务逻辑漏洞——支付金额篡改、并发滥用、流程跳步，这些扫描器永远发现不了。安全是团队属性，我会推动安全 checklist 进需求与代码评审。

追问『发现漏洞但影响不确定怎么定级』：按可利用性与影响面矩阵定，需组合利用的降级、可匿名直达的升到高危；『越权怎么系统性测』：两账号矩阵法，A 的资源用 B 的凭据逐一访问，配合接口清单不遗漏；『怎么不越界』：授权范围、脱敏数据、发现即报告不深入利用，这是底线。