从管理共享、远程服务、任务计划等路径，对照给出加固与监测建议。
讲清上传点为何危险，梳理扩展名/MIME/解析漏洞等绕过思路（教学），以及目录隔离与不可执行加固。
反射 / 存储 / DOM 三类 XSS 的原理差异，从注入到会话窃取的过程，以及编码与 CSP 组合防护。
在红蓝对抗/攻防演练授权范围内，如何系统化做主机、域、服务信息收集。
从拼接查询讲清 SQL 注入根因，梳理探测→确认→提权/脱库的典型过程，并给出参数化与权限收敛对策。
水平/垂直越权的典型表现，以及服务端强制鉴权与对象级权限检查。
从扩展名、MIME、内容嗅探、存储路径到执行权限，给出上传功能安全评审清单。
解释 CSRF 攻击模型，以及同步 Token、双重 Cookie、SameSite 等防护组合。
