从原理到防护，带你认识经典 Web 注入攻击。
服务端模板引擎拼接用户输入时的求值原理、从探测到 RCE 的过程与沙箱/逻辑分离修复。
XML 解析器解析外部实体时导致的文件读取与 SSRF 效果，关闭外部实体的修复方式。
面向开发联审的检查项：注入、鉴权、文件、反序列化、依赖组件等。
从暴露面服务的口令猜测到进入系统后的扩大过程，以及 MFA、限速、锁定与监控对策。
将 Top 10 条目映射到靶场练习点与代码评审关注点，方便对照学习。
利用浏览器自动携带 Cookie 的特性，诱导受害者完成状态变更请求的全过程与 Token 防护。
弱口令、会话固定、JWT 误用、水平/垂直越权的原理与逐步入侵路径，附对象级鉴权修复。
