《web应用安全测试实战》这本书，应用安作者是全测陈明。别急着划走，试实我知道你脑子里闪过的战作是不是“又是本理论堆砌的教材”？我最初也这么想。

直到去年我负责的应用安一个电商项目上线前渗透测试，发现了一个存储型XSS漏洞，全测差点让用户cookie全线裸奔。试实当时组里几个安全工程师翻遍了OWASP文档，战作最后解决问题的应用安思路，居然是全测从这本书里某个“过时”的案例里找到的。那个案例讲的试实是2014年一个论坛的过滤绕过，用的战作payload早被现代WAF拦了，但它的应用安核心思路——利用编码差异和解析器冲突——放到今天依然成立。

陈明这人的全测写法有个特点，他不给你列“十大漏洞清单”，试实而是直接扔给你一个真实站点，然后像老刑警带徒弟那样，一步步教你从信息收集开始挖。书里有个细节我印象很深，他演示如何通过响应头里的Server字段版本号，去查已知CVE，然后反推这个站点的中间件配置。步骤写得极细，连用什么curl参数都标了。

但你要说这本书完美无缺？我不认。它的代码示例偏PHP和Java，现在前后端分离的Node.js项目，你得自己举一反三。而且部分工具截图还停留在Burp Suite 1.x时代，界面看着确实复古。不过话说回来，安全测试的核心逻辑十几年没变过，工具只是载体。

有个反常识的点，这书最厚的章节不是讲SQL注入，而是讲业务逻辑漏洞。比如支付流程里改价格字段、越权访问他人订单这类。陈明在书里直接怼过一些“扫描器教徒”——他说你扫出几百个告警，不如手工测通一个支付接口的竞态条件。这话糙，但真在甲方待过的人都懂。

书末的附录倒是很实用，他把所有测试用例整理成了checklist，我直接打印出来贴在工位上。每次测新系统，对着清单过一遍，比凭感觉瞎点靠谱得多。不过得提醒你，别指望看完这本书就能当黑客。它更像一本手术图谱，你得对着真实系统反复练手，才能把书里的手法变成肌肉记忆。

如果你只是想知道“作者是谁”，那答案就是陈明，一个在绿盟待过、后来自己创业做安全咨询的老兵。但如果你想知道这书值不值得翻烂，我的判断是——它比市面上90%的安全书都接地气，前提是你愿意忍受它有些年份的案例和略显啰嗦的调试过程。