浏览器与协议

浏览器安全机制、HTTP 协议语义与 TLS/HTTPS 实践。
文章数：31

本章节是理解 Web 漏洞的基础层：同源策略如何约束脚本读写、CORS 如何放宽跨域访问、Cookie 如何被自动附带、HTTP 报文如何被代理解析、TLS 握手如何建立信任。漏洞模块中的 XSS、CSRF、SSRF、Smuggling 等均建立在本章机制之上。

文章目录

概论

浏览器与协议 — 章节定位、分类体系、与 vuln 模块衔接
公开事件与机制教训 — 公开事件与机制教训
标准与延伸阅读 — 标准与延伸阅读

浏览器安全

HTTP 协议

HTTP 协议概论 — HTTP 在 Web 栈中的位置
HTTP 报文结构 — 起始行、头域、分块、Keep-Alive
HTTP 方法与状态码 — 幂等、安全方法、缓存相关码
HTTP 缓存机制 — 强缓存、协商缓存、Vary
HTTP/2 — 帧、多路复用、HPACK
HTTP/3 与 QUIC — UDP 传输、0-RTT 与安全边界

TLS / HTTPS

TLS 与 HTTPS 概论 — 机密性、完整性与身份
TLS 握手 — 证书验证、密钥协商
证书链与信任模型 — PKI、中间人、钉扎
HTTP 严格传输安全（HSTS） — 强制 HTTPS、子域与预加载
TLS 常见配置错误 — 协议版本、套件、混合内容

目录树

text

browser/
│
├── 00-intro
├── same-origin-policy
├── cors
├── csp
├── cookie-security
├── auth-models
├── web-storage
├── indexeddb
├── service-worker
├── fetch-api
├── websocket
├── postmessage
├── iframe-sandbox
├── private-network-access
├── subresource-integrity
├── trusted-types
├── security-headers
├── navigation-redirects
├── http/
│   ├── 00-intro
│   ├── message-structure
│   ├── methods-and-status
│   ├── caching
│   ├── http2
│   └── http3-quic
├── tls/
│   ├── 00-intro
│   ├── handshake
│   ├── certificate-chain
│   ├── hsts
│   └── misconfiguration
├── cases
└── references

阅读建议

text

00-intro → same-origin-policy → cors / fetch-api / cookie-security → auth-models
              ↓
         csp → security-headers → postmessage / iframe-sandbox
              ↓
         web-storage → indexeddb → service-worker → websocket
              ↓
         private-network-access → sri → trusted-types → navigation-redirects
              ↓
         http/00-intro → message-structure → caching → http2 → http3-quic
              ↓
         tls/00-intro → handshake → hsts
              ↓
         cases → references

建议先建立 Origin 与 Cookie 模型，再读 HTTP 报文与 TLS；审计 XSS、CSRF、HTTP Smuggling 时回到本章对照机制边界。

返回首页

浏览器与协议 ​

文章目录 ​

概论 ​

浏览器安全 ​

HTTP 协议 ​

TLS / HTTPS ​

目录树 ​

阅读建议 ​