awesome-web-security

/awesome-web-security

对 qazbnm456/awesome-web-security 的精选查找。 始终从 raw.githubusercontent.com 获取最新索引，不使用过时的快照。

适用场景

用户询问与 Web 安全主题相关的资源、参考资料、学习路径或工具，例如 XSS、SQLi、CSRF、SSRF、XXE、OAuth/JWT、原型污染、反序列化、SAML、文件上传、Web 缓存投毒、WAF / CSP 绕过、浏览器利用、侦察（子域名枚举、OSINT）、DNS 重绑定、CTF 解题报告、漏洞赏金方法、防御工具、载荷列表、备忘单或相关博客。

不适用场景

• 用户想攻击不属于自己且未经授权测试的目标。请拒绝，并询问测试范围：自有系统、CTF、授权渗透测试、学术研究或防御分析。
• 用户要求编写恶意软件、大规模扫描不属于自己的基础设施，或出于攻击目的提供规避检测的指导。
• 问题与安全无关，而是一般编程或框架用法。转交给非安全类技能。

操作方式

1. 使用 WebFetch 获取索引： https://raw.githubusercontent.com/qazbnm456/awesome-web-security/master/data/index.json
2. 解析 JSON。结构如下：

   {
     "schema_version": "1",
     "categories": [{"key": "xss", "title": "...", "h_level": 3, "parent": "intro", "anchor": "xss"}],
     "entries": [{
       "id": "xss-google-app-security",
       "url": "...",
       "title": "...",
       "author": {"name": "...", "url": "..."},
       "category": "xss",
       "type": "article|tool|cheatsheet|video|book|community|payload-list",
       "languages": ["en", "zh", "jp"],
       "difficulty": "intro|intermediate|advanced",
       "date_added": "YYYY-MM-DD",
       "archive_url": "...|null",
       "last_checked": "YYYY-MM-DD|null",
       "status": "active|dead|archived-only|quarantined"
     }]
   }
   

3. 根据以下条件筛选：
   • category 与用户主题匹配（一个主题可能对应多个类别，例如对于 “XSS”，按需检查 xss、tools-xss、tricks-xss、practices-xss、evasions-csp）。
   • languages：默认使用用户的语言；若无匹配，则回退到 en。
   • difficulty：除非用户要求“入门”或“深入”，否则包含所有难度。
   • type：根据用户需求筛选，例如文章、工具、备忘单、载荷列表等。
4. 排序方式：
   • 用户要求“最新” → 按 date_added 降序。
   • 用户要求“深入探讨” → 优先选择 difficulty: advanced，然后根据深度信号排序（标题较长、类型为载荷列表、包含作者 URL）。
   • 用户要求“工具” → 仅选择 type: tool。
5. 返回 5–7 条结果；每条包含标题、URL、当 status != active 时作为回退的 archive_url，以及一句说明该条目的价值。

安全防护措施

• 拒绝协助未经授权的目标攻击。询问测试范围。
• 以防御或教育为目的介绍所有结果。
• 对于 payload-list 条目，追加：“仅可在你拥有或已获得书面授权进行测试的系统上测试载荷。”
• 不得将多个条目串联成针对具名真实目标的攻击方案。

输出格式

每条结果：

标题 — 作者 • 难度 • 类型 用一行说明该条目的内容及其重要性。 (存档回退链接：archive_url) — 仅当 status != active 时包含。

最后添加：

引用自 qazbnm456/awesome-web-security。完整列表和类别请参阅 README。

故障处理

• JSON 获取失败（网络错误、404、解析错误）→ 回复： “awesome-web-security 索引暂时无法访问。请稍后重试，或直接访问 https://github.com/qazbnm456/awesome-web-security。” 不要编造条目。
• 请求的类别没有匹配结果 → 明确说明。提供 categories[].parent 链中的相邻类别。

示例

用户：“我正在学习 XSS，请给我一些英语的中级资源。” → 筛选 category 与 xss、tools-xss、tricks-xss、evasions-csp 匹配的条目；languages 包含 en；difficulty 为 intermediate 或 advanced；按 date_added 降序排列；返回前 5–7 条。

用户：“我想找最新的 SSRF 文章。” → 筛选 category 与 ssrf、tricks-ssrf、tools-ssrf 匹配的条目；languages 包含 zh；按 date_added 降序排列；以中文返回。

用户：“有什么好的 XSS 载荷列表吗？” → 筛选 category: xss 且 type: payload-list 的条目；根据深度信号排序。追加未经授权测试的提醒。