一、课程性质
当前数字经济高速发展，Web应用已深度渗透到政务、金融、电商、教育等各个关键领域，成为社会运行与企业经营的核心载体。然而，SQL注入、XSS跨站脚本、权限绕过、文件上传漏洞等安全威胁频发，不仅会导致用户数据泄露、系统功能瘫痪，更可能引发企业经济损失与社会信任危机。为响应我国网络安全人才培养战略，满足企业对Web应用安全防护技术人才的迫切需求，使学生掌握保障Web系统安全的核心能力，特开设《Web应用安全与防护》课程。本课程是计算机应用技术、网络工程技术、信息安全技术等专业的核心专业课程，是衔接Web开发与网络安全实践的关键环节，对培养具备“攻防思维”的高素质技术技能人才具有不可替代的作用。
二、课程内容
本课程是计算机网络技术专业的专业核心课程。本课程以“理论筑基、实践强能”为核心原则，结合企业真实Web安全场景与岗位需求，构建“漏洞认知-攻防实践-防护落地”的递进式教学体系，帮助学生从“知风险”到“会防御”，具体内容涵盖以下模块：
1.Web应用安全基础：系统讲解Web应用的运行原理、常见安全威胁分类，以及Web安全的核心概念,为后续攻防实践奠定理论基础。
2.典型漏洞攻防实践：以“模拟攻击+漏洞修复”的双视角开展实操教学，包括：注入类漏洞：通过搭建测试环境，实操SQL注入的攻击流程，掌握参数绑定、预编译语句等防护方法；跨站脚本漏洞：演示存储型、反射型XSS的利用场景，学习输入过滤、输出转义、CSP内容安全策略的配置与应用；权限与配置漏洞：实践越权访问、敏感信息泄露、默认口令等漏洞的检测与利用，掌握权限分级管理、安全配置核查的要点；文件上传漏洞：模拟恶意文件上传攻击，学习文件类型校验、文件存储路径脱敏、后端病毒扫描等防护手段。
3.Web安全防护体系构建：教授企业级Web安全防护技术的落地方法，包括Web应用防火墙的部署与规则配置、SSL/TLS证书的申请与HTTPS部署、安全开发流程的核心环节，以及安全日志分析与应急响应的基本流程。
4.实战综合演练：基于真实业务场景的靶场开展综合攻防演练，要求学生独立完成漏洞扫描、渗透测试、编写安全测试报告，并制定完整的Web应用安全防护方案，强化“发现问题-分析问题-解决问题”的实战能力。
通过本课程的学习，学生能够熟练识别Web应用的常见安全漏洞，掌握主流的攻击防御技术与防护体系搭建方法，具备参与企业Web系统安全测试、漏洞修复与日常安全运维的能力，为将来从事Web安全工程师、渗透测试工程师、应用安全运维工程师等岗位奠定坚实基础。
