知識主題
Web 應用資安
從瀏覽器、應用程式與資料庫之間的信任邊界，理解登入、權限及資料處理如何產生安全問題。
主題說明與延伸閱讀
從瀏覽器、應用程式與資料庫之間的信任邊界，理解登入、權限及資料處理如何產生安全問題。 本主題聚焦 Web 應用的基礎防護；網路設備、惡意程式分析與完整事件應變不是這一批的範圍。
目前狀態：已整理下列 7 篇基礎文章。 查證日期：2026-11-02。依據 OWASP、MITRE CWE、MDN 與文中列出的產品官方文件；持續更新的頁面以查證當日內容為準。 本次只做文件查證，未部署應用、操作帳號或執行攻擊測試。文章中的筆記服務是自創教學情境，不是本站的產品規格。
閱讀入口
表格・2 欄 7 列
| 文章 | 要解決的問題 |
|---|---|
| 信任邊界與威脅思考 | 哪些資料可由誰控制？資料跨越邊界時，由誰重新判斷？ |
| 登入、Cookie 與 Session | 登入一次之後，伺服器如何辨識後續請求？如何結束這個狀態？ |
| Web 應用的存取控制 | 已登入的人，能否讀取或修改目前這一筆資料？ |
| SQL Injection 與查詢參數化 | 如何避免資料被解讀成 SQL 語法？ |
| XSS 與瀏覽器輸出邊界 | 如何避免文字被解讀成 HTML 或程式碼？ |
| CSRF、同源政策與跨站請求 | 帶有登入 Cookie 的請求，是否代表使用者想做這個操作？ |
| 機密與敏感資料的生命週期 | 密碼、服務憑證與個人資料分別如何保護？外洩後要改變什麼？ |
先讀信任邊界，再讀登入與權限；其餘可依資料流向選讀。 SQL Injection 與 XSS 都涉及「資料被當成語法」，但接收端與防護方法不同；CSRF 則涉及瀏覽器代送的憑證與請求意圖。 這是本站的編輯安排，不是 OWASP 的完整分類或通過安全驗收的清單。
與既有主題的分工
- API 共通知識：驗證／授權、契約與失敗語意維持在共通文件；本主題補瀏覽器及 Web 邊界。
- 關聯式資料庫：資料模型、約束與交易；資料完整性與使用者權限各有責任。
- Linux：作業系統的帳號、檔案權限與服務概念；不等於應用程式的資料權限。
- AWS：雲端服務的身分與管理責任；IAM 不能自行決定應用程式中的筆記歸屬。
- 網站首頁：查看其他主題與閱讀起點。
後續方向
本批尚未展開檔案上傳、SSRF、依賴供應鏈、限流與可用性、TLS 部署或 OAuth 登入整合。 需要具體實作時，另補所選框架與版本的設定、案例及實測結果；不把本批概念文章當成完整部署指南。