- 博客(104)
- 资源 (5)
- 收藏
- 关注
RSS订阅原创 代码转需求文档skill_浅木·先生
这篇文章介绍了一个名为code-to-prd的工具，它能从代码自动生成业务需求文档（PRD），而非技术文档。作者指出，在项目维护和迭代中，文档常落后于代码变更，导致业务逻辑不清。该工具通过解析代码中的路由、控制器、状态枚举等，生成业务导向的需求描述，并自动标注来源代码位置，对不确定项列为开放问题。它能创建业务流程图和时序图，使用非技术语言，便于产品、测试等非技术人员理解。工具特别适用于接手老项目、二期开发、团队扩招等场景，帮助厘清现有系统逻辑，但无法替代业务决策。作者强调其核心价值在于将代码转换为可读性强的
2026-07-22 12:37:17
322
原创 AI-Locust 性能测试框架落地方案
本文提出了一种AI-Locust性能测试框架落地方案，针对财政综合服务平台设计了一套可复用的测试框架。该框架并非替代Locust工具，而是构建了一套组织规范，解决脚本管理、数据分离、报告生成等工程化问题。框架采用三步走流程：规划阶段确定压测目标并输出YAML方案；执行阶段动态生成Locust脚本并保存原始测试数据；分析阶段通过解析CSV和LLM辅助生成中文HTML报告。文中提供了详细的目录结构和两个典型测试脚本示例（登录流程和业务接口基准测试），特别展示了如何维持会话状态和从外部文件加载测试数据。该方案适用
2026-07-13 09:21:30
228
原创 Locust 性能测试工具使用手册·(基础)
本文介绍了Locust性能测试工具的基本使用方法和核心功能。Locust是一个基于Python的开源性能测试工具，支持分布式压测、实时监控和多种协议测试。相比JMeter等工具，Locust具有学习成本低、并发能力强、扩展性好等优势。 文章主要内容包括： Locust的安装方法及版本验证 快速入门示例，展示如何编写简单的测试脚本 核心概念解释：HttpUser类、task装饰器、等待时间和HTTP客户端 常见测试场景示例：登录业务流程、多用户类型混合、参数化测试数据等 Locust特别适合Python团队进
2026-07-13 09:17:52
193
原创 这可能是最干净的 Markdown 编辑器——开源免费，打开就用
文章摘要： 推荐一款极致轻量的开源Markdown编辑器——markdown-QM。其核心优势在于： 零门槛使用：单HTML文件，双击即用，无需安装/注册，支持完全离线； 功能全面：实时预览、多语言/主题切换、自动保存，支持表格/公式/图表等高级语法； 数据安全：纯前端运行，内容仅存本地，可导出多种格式（MD/HTML/PDF/图片等）； 扩展灵活：支持Electron打包成桌面应用。 适合注重隐私、追求轻量化的用户，MIT协议开源，GitHub可免费获取。
2026-07-09 18:17:57
233
原创 Playwright + 本地 AI，从录制到自愈闭环的一站式自动化测试平台。
摘要：Auto_Testing是一款基于Playwright和本地AI的WebUI自动化测试引擎，解决了传统UI测试"脚本易失效、修复耗时"的痛点。该工具提供从认证管理、脚本录制到AI自愈的完整闭环，支持浏览器操作录制和AI生成脚本两种模式，内置交互式元素排查工具和三层报告体系。核心技术亮点包括：本地Ollama模型实现数据安全的AI诊断修复、智能登录态管理、Ant Design组件兼容、验证码识别及定位器优化工具集。开源免费且支持敏感场景，适合企业级自动化测试需求。（149字）
2026-07-09 18:16:02
365
原创 UI自动化脚本生成的三种路线深度解析：用例、页面、录制如何分工协作
从用例出发对应的是业务理解能力——将业务规则转化为可验证的测试点从页面出发对应的是测试设计能力——系统性地发现测试场景，不遗漏边界从录制出发对应的是执行效率能力——把已知的测试操作快速落地这三条路线不是非此即彼的选择题，而是一个组合拳。最好的策略是三者叠加——录制打头阵快速验证，用例路线批量覆盖业务规则，Planner补齐交互边界。作者：浅木·先生首发于公众号/CSDN | 转载请联系作者。
2026-07-09 18:13:23
202
原创 WebUI 自动化测试引擎 v3.0
WebUI自动化测试引擎v3.0是一个基于Playwright和本地Ollama AI的全栈测试平台，提供从录制到自愈的闭环解决方案。核心功能包括智能录制器、AI测试生成、测试自愈诊断和多浏览器回放，支持EasyUI/antd等复杂框架。该平台通过模块化设计实现"录制-生成-执行-诊断-报告"全流程自动化，显著提升测试效率和稳定性，解决传统测试脚本维护成本高的问题。
2026-07-08 16:18:28
260
原创 前端代码覆盖率工具 — 理论与设计Playwright Coverage API
本文档介绍了前端代码覆盖率工具的理论基础、实现原理和设计思路。主要内容包括： 理论基础：前端代码覆盖率衡量测试执行过程中JS/CSS代码的实际执行比率，通过V8引擎的CoverageTracker模块实现字节码级跟踪。 Playwright API原理：封装了CDP协议，提供JS/CSS覆盖率数据采集接口，详细说明了数据格式和计算方法。 设计思路：采用零侵入、可复用、可积累的三层架构（采集层/存储层/分析层），实现轻量级覆盖率统计。 工具特点：支持多轮数据聚合生成趋势报告，帮助识别未测试代码和UI组件。 该
2026-07-03 18:43:11
509
原创 Scrapling 与 Playwright 对比：网页解析工具的正确选型
文章摘要： Scrapling与Playwright作为网页解析工具的对比分析显示，两者各有优势场景。Playwright作为浏览器自动化框架，适合处理复杂交互和完整渲染（如SPA、WebSocket等），但资源消耗较高。Scrapling作为轻量级爬虫框架，在HTML解析速度（号称比BeautifulSoup快784倍）和反爬绕道方面表现突出，尤其适合静态/半动态页面采集。实际测试中，Scrapling在纯静态页面处理速度可达Playwright的5-10倍，内存占用仅为1/5。但复杂场景（如Canvas
2026-06-27 12:07:19
357
原创 测试决策与管理：从测试决策单到智能项目看板
本文作者浅木·先生反思了测试平台开发中常见的"工具堆砌"误区，提出从"工具思维"转向"决策思维"的方法论。作者通过数据分析发现，用户真正需要的是帮助决策而非更多功能，于是设计了"测试决策单"模型——基于项目状态动态生成行动指引。该模型包含场景、风险等级、行动、优先级和通过标准五个字段，能自动匹配并生成可视化的测试路线图。文章通过金融系统案例，展示了决策引擎如何分析项目上下文、匹配规则并输出优先级分明的测试建议，最终帮助测试人员快速做出正确决策。这种聚焦核心需求的方法显著提升了测试效率。
2026-06-27 12:06:27
200
原创 AI 测试新范式：Agent Memory、Vibe Coding 与测试工具进化
文章摘要： 《AI 测试新范式：Agent Memory、Vibe Coding 与测试工具进化》揭示了软件测试行业的颠覆性变革。作者通过财政系统测试案例，展示了腾讯开源的TencentDB Agent Memory如何解决AI测试中的"记忆碎片化"问题，实现测试效率提升60%、重复bug减少83%。同时，Vibe Testing范式将测试脚本编写转化为自然语言意图描述，结合testRigor等工具实现AI自动生成与执行用例。文章包含具体配置代码、踩坑经验（如记忆污染问题）及实测数据，为测试从业者提供了从传
2026-06-27 12:05:57
400
原创 知识库自动化流水线：NAS+微信+Hermes+Obsidian 全链路打通
知识管理自动化流水线实践总结 本文记录了作者从传统手动知识管理升级到全自动化流水线的完整过程，主要包含以下核心内容： 系统架构：构建了"微信抓取→Hermes处理→Obsidian归档→NAS备份"的自动化知识管理流水线，实现信息从原始文本到结构化知识的自动转化。 关键技术： 使用OpenClaw实现微信文章自动抓取 通过Hermes Agent进行AI自动摘要和标签生成 采用Obsidian作为知识存储中心 利用NAS完成定时备份 实践心得： 解决了微信登录超时、批量处理过载等技术难点 测试了多种AI模型
2026-06-26 13:57:04
280
原创 安全测试与渗透测试 Skill 实战：从信息收集到等保合规
安全测试没有"银弹"。从信息收集到免杀实战，从漏洞利用到等保合规，每一个环节都可能决定一次渗透测试的成败。对我而言，财政系统的安全测试更有一种特殊的责任感——每一行代码的安全，关联的是国家财政资金的安全。攻击思维让我们找到漏洞，合规意识让我们守住底线。本文由浅木·先生原创撰写，基于 SecSkills 实战框架与等保 2.0 标准。文中命令仅供授权测试使用，未经授权对目标系统进行渗透测试可能违反《网络安全法》第二十七条。
2026-06-26 13:56:23
183
原创 桌面端与 Web 端混合自动化：Pywinauto + Playwright 全链路编排
本文介绍了一种结合Pywinauto和Playwright的混合自动化测试框架，用于解决财政系统中"桌面端+Web端"交替操作的业务流程测试问题。该框架通过四层架构实现全链路编排：基础设施层提供基础支持，引擎层分别处理桌面端(Pywinauto)和Web端(Playwright)操作，编排层管理流程状态，测试用例层组织业务场景。重点讨论了CA证书登录这一典型混合场景的实现，包括Pywinauto处理桌面客户端操作、Playwright接管浏览器跳转等关键环节。该方案有效解决了传统自动化工具只能覆盖单一端的问
2026-06-26 13:54:26
240
原创 AI Code Review 与测试治理：当 AI 审查代码之后
本文探讨了AI代码审查工具在实际应用中的治理挑战与解决方案。作者通过财政预算系统的一次线上事故（金额校验逻辑错误）引入主题，指出AI代码审查工具存在三大困境：95%的高误报率导致开发者忽视重要警告；缺乏合规审计流程；财政系统的特殊性（错误代价极高）。为解决这些问题，团队建立了三级治理框架：1）通过配置文件精细控制AI审查范围，将有效评论率从5%提升至68%；2）设计闭环工作流确保每条意见被处理；3）针对财政系统特点定制审查规则。文章强调AI代码审查的核心不是技术问题而是治理问题，需要结合行业特性和组织流程进
2026-06-26 13:53:25
237
原创 缺陷管理与 Bug 统计自动化：从人工汇总到 Skill 一键输出
在财政信息化领域摸爬滚打了六年，我带过测试团队、搭建过质量管理体系，也经历过无数个为了周报数据熬到深夜的夜晚。缺陷管理，听起来是件"低级"的事——不就是提 Bug、改 Bug、关 Bug 吗？缺陷管理从来不是技术问题，而是数据治理问题。财政系统有多特殊？预算编审、资金支付、政府采购、非税收入——每一个模块背后都对应着《预算法》《政府采购法》《预算管理一体化规范》等法规体系。
2026-06-26 13:52:44
342
原创 测试团队 AI 转型路线图：从工具到流程到组织的进化
本文总结了测试团队AI转型的四阶段路线图，从工具赋能到组织进化，提供了实践经验和关键指标。作者团队通过18个月探索，将AI逐步融入测试全流程，显著提升了效率和质量。L1阶段聚焦单点提效，L2将AI嵌入流程，L3实现数据驱动的智能决策，L4重构团队结构。每个阶段都有明确目标、典型场景和考核指标，强调渐进式变革和实际效果验证。关键经验包括：从具体痛点切入、建立可量化的评估体系、重视合规问题，以及避免过早构建复杂平台。该路线图为20人左右测试团队的AI转型提供了可落地的参考框架。
2026-06-24 18:00:10
229
原创 Skills 驱动测试自动化：从手写脚本到智能体协作的进化之路
摘要 本文探讨了Skills驱动测试自动化的演进历程。作者以财政系统测试为例，从早期手工编写JMeter脚本的痛点出发，提出通过Skills（结构化Markdown文档+模板）指导AI生成规范化的测试脚本。Skills与MCP形成互补：前者负责流程性任务，后者处理精确操作。文章详细展示了一个JMeter脚本生成Skill的设计实现，包括五层架构、核心配置和实战效果，并分享了输入口语化、断言保守等踩坑经验。这种Skills方法将测试效率从40分钟/脚本提升至30秒，同时保证了脚本质量的一致性。
2026-06-24 17:57:55
185
原创 知识库与工具链整合：从碎片化到体系化的 AI 测试知识底座
知识库与工具链整合：构建AI驱动的财政系统测试知识底座 本文介绍了如何通过整合开源智能体框架Hermes Agent和知识管理工具Obsidian，构建面向财政系统测试场景的AI知识底座，解决测试团队面临的三大核心问题： 知识碎片化：通过建立语义向量+关键字索引的双路检索机制，实现从被动存储到主动检索的转变 流程难传承：利用Hermes Agent的Skills机制，将测试操作封装为可复用技能，实现从静态文档到技能自动化的升级 经验难保留：通过持久记忆系统捕获隐性知识，实现从个人经验到组织记忆的转化 文章详
2026-06-24 17:56:57
237
原创 WebUI 自动化测试引擎 v3.0
WebUI 自动化测试引擎 v3.0 摘要（150字）： WebUI 自动化测试引擎 v3.0 是基于 Playwright 1.60 和本地 Ollama AI 的一体化测试平台，提供从录制到自愈的闭环解决方案。核心功能包括：1）认证管理系统，通过 storageState API 实现登录态永久复用和智能降级；2）录制引擎支持浏览器操作录制和AI需求生成两种模式，具备跨页面录制、组件兼容和验证码识别能力；3）智能执行器提供交互式测试运行、元素排查工具和三层报告体系。特色功能包括AI定位器选取、PO类自动
2026-06-24 17:56:00
355
原创 性能测试体系构建：从工具选型到 AI 辅助的全链路压测
性能测试体系的构建，不是一朝一夕的事情，也不是"买个工具"就能解决的问题。它需要团队在工具选型、流程规范、数据治理、监控分析四个层面持续投入。业务理解先行：不懂财政业务的性能测试，测出来的数据只是"数字游戏"。只有理解"预算申报"“集中支付”"政府采购"背后的真实业务逻辑，才能设计出有意义的压测场景。全链路全局思维：单接口压测不能反映系统的真实表现。从浏览器到数据库，从内网到外联系统，全链路的每一个环节都可能是瓶颈。AI 增效，人脑决策。
2026-06-23 19:42:34
290
原创 AI 测试用例生成：从 Prompt 到 Skills，打造财政系统的智能用例工厂
文章摘要：本文探讨了如何利用AI技术高效生成财政系统的测试用例。作者结合6年财政信息化测试经验，提出从基础Prompt优化到构建Skills知识库的解决方案。首先指出简单Prompt生成的用例过于笼统，提出结构化Prompt五要素模板（角色+业务背景+约束+方法+格式），显著提升用例质量。进一步提出Skills概念，将测试专家知识沉淀为可复用的能力模块，如需求分析、边界挖掘等。最后介绍Agent+Skill+AI Model三层架构，通过任务拆解、能力调度和智能生成，实现财政系统复杂业务规则的全覆盖测试用例
2026-06-23 19:38:43
389
原创 Playwright AI 自动化测试进阶：从脚本到智能体的跃迁
文章摘要 本文探讨了Playwright AI自动化测试在财政系统中的应用进阶。作者以某省财政预算审批系统为例，分析了传统自动化测试的三大痛点：定位器脆弱、登录态割裂和老旧系统兼容性问题。重点介绍了Playwright 1.59版本的三大革新功能：通过pickLocator实现自然语言元素选择、normalize提供纯净文本提取、以及screencast记录操作可视化。同时详细阐述了登录态持久化方案，利用storageState机制实现一次人工登录、多次复用，并分享了跨域Cookie处理、会话隔离等实战经验
2026-06-23 19:37:08
217
原创 AI Agent 实战：从 Hermes 部署到测试团队智能化升级
本文介绍了作者在财政系统测试团队中部署AI Agent（Hermes）的经验。财政系统测试面临业务链路长、合规严、回归工作量大的挑战。Hermes通过跨会话记忆、Skills模板化流程和MCP工具层三大核心能力，有效提升了测试效率。文章详细阐述了： 1）Hermes的记忆机制如何实现92%的参数自动传递成功率； 2）Skills如何将测试流程封装为可执行的文档； 3）MCP工具层与Skills的分层架构设计。 实践表明，该方案使7步支付链路测试时间从15分钟缩短至3.2分钟，为复杂业务系统的质量保障提供了新
2026-06-23 19:36:14
288
原创 我做了一个Skill，专门用来对付那些说不清楚的需求
《财政需求侦探：用测试思维破解模糊需求》摘要 本文介绍了一款针对政府财政系统设计的"fiscal-req-detective"需求澄清工具。作者基于十余年测试经验，发现模糊需求是导致项目问题的关键因素。该工具通过三步法将一句话需求转化为可确认的决策清单：先还原业务场景（角色、动作、目标等），再按业务边界→流程规则→数据校验→体验报表的顺序拆解决策题，最后输出含"核心确定区"和"假设验证区"的分级任务单。核心创新是用选择题替代开放式提问，每个选项都附带业务利弊分析，帮助业务方基于实际场景做决策。工具特别适用于
2026-06-17 11:55:43
246
原创 财政核心业务知识-测试篇
本文针对政府财政系统测试中常见的需求缺失问题，提出了一套完整的业务反推与测试补全机制。文章首先梳理了财政核心业务闭环（预算编制→指标下达→计划审批→资金支付→会计核算→决算报告）及六大模块关键测试点，重点分析了财政产品测试最棘手的四类上下文缺失问题（业务、规则、数据、版本）。作者提出测试团队应主动建立功能反向梳理机制，通过创建"功能测试上下文卡片"、构建财政业务知识库、制定通用测试基线等方法，在没有完整需求文档的情况下仍能保障测试质量。文中提供了详细的操作流程、模板工具和优先级建议，强调测试团队要转型为业务
2026-06-17 11:55:05
251
原创 09 — 一人公司与个人品牌构建
文章摘要 本文系统阐述了一人公司的运营框架与个人品牌建设路径。核心内容包括：1）构建包含心态、商业闭环、产品服务等7个模块的一人公司操作系统；2）利用Hermes平台搭建AI代理团队实现高效分工；3）精选6个关键技能（如Skill Creator、Realph Loop）提升工作效率；4）提出从技术深耕到商业变现的四阶段个人IP发展路径；5）强调在财政测试领域打造"业务+AI"复合型专家定位的独特优势。作者建议从知识库建设、内容输出和技能产品化三方面立即行动，最终实现"一人公司+AI代理"的可持续商业模式。
2026-06-16 12:14:04
199
原创 08 — 测试团队管理与职业成长
本文总结了2026年测试团队管理与职业成长的关键要点。随着AI编程工具普及，测试工作面临新挑战，核心竞争力转变为业务理解力、AI工具力和质量设计力。作者提出测试工程师"新三件套"：设计测试策略、AI辅助执行和构建质量数据体系。文章提供了质量数据体系建设方法、绩效考核模板、周例会汇报公式、AI工具选型框架等实用工具，并强调AI不是取代测试人员，而是提升效率的手段。最后针对20人团队提供了AI转型路线图，帮助测试团队适应技术变革，实现职业成长。全文基于15年实战经验，为测试管理者提供了系统化的解决方案。
2026-06-16 12:12:52
138
原创 07 — 性能测试与安全测试实践
本文介绍了性能测试与安全测试在财政系统中的实践方法。主要内容包括：1）性能测试工具选型对比，推荐Locust、JMeter和Playwright的组合方案；2）FastAPI+Locust搭建压测平台的具体实现；3）利用AI快速生成JMeter测试脚本的技巧；4）基于Playwright的前端性能测试方法，重点关注Web Vitals指标；5）提供性能测试Prompt模板；6）安全测试工具集介绍，包括FLUX和HackingTool等工具。文章为财政系统提供了完整的测试解决方案，涵盖负载能力评估和安全合规检
2026-06-16 12:11:58
209
原创 06 — 自愈测试与智能测试
摘要： 自愈测试通过弹性适配层实现测试脚本的自动修复，显著降低人工维护成本，但伴随性能损耗（如执行时间增加210%）。优化策略包括分层自愈、定位器缓存、视觉比对节流及异步监控。AI可闭环分析Allure报告并自动修复代码，效率提升90%以上。财政系统建议优先可维护架构，辅以轻量自愈，并监控误修复率等指标。实施分五阶段，从架构重构到全自动修复，需平衡自愈能力与系统稳定性。核心结论：高频变更场景适合自愈，稳定系统（如财政领域）应侧重可维护性。 （字数：150）
2026-06-16 12:10:48
203
原创 05 — 测试左移与质量内建
《测试左移与质量内建：财政系统实践指南》摘要 本文针对财政系统测试团队提出了一套完整的质量内建方案，核心观点是"让质量成为全团队的事"。通过7个自动化Agent覆盖代码质量全链路（代码审查、静态分析、单元测试、接口测试等），结合三方评审机制，作者团队在三个月内将漏测率从18%降至11%。文章特别强调在AI时代测试人员应聚焦业务正确性判断（占80%时间），而非可自动化的工作。针对财政系统，建议优先建立冒烟测试卡点、需求三方评审和质量数据汇报体系，并提供了具体实施路径和量化指标模板。关键数据：需求阶段发现缺陷成
2026-06-16 12:08:18
341
原创 测试深度洞察 ｜ 2026年6月：测试工具迭代背后的行业信号
2026年测试行业深度观察：AI正在重塑测试方法论与实践 工具迭代揭示三大趋势： Playwright 1.60强化AI Agent操作能力，浏览器控制转向智能化基础设施 Selenium 5延迟反映行业重心转移，WebDriver BiDi成为新关注点 JMeter 6.0技术债升级与k6/Gatling形成差异化赛道 关键数据： 89%企业试点AI测试，仅15%实现规模化部署 移动端不稳定测试3年增长2.6倍 72%QA用AI生成测试，但存在技术债风险 核心结论：工具已不是瓶颈，建立AI信任框架和结构化
2026-06-05 18:57:15
1232
原创 04 — AI 测试用例生成与评审实战
《AI测试用例生成与评审实战指南》摘要（149字） 本文针对财政系统场景，系统化阐述AI测试用例生成方法论。核心观点：AI生成用例质量=智能体×提示词×模型×需求文档，提出"AI写初稿+人工审核"的分工模式。提供10个可直接套用的Prompt模板，覆盖接口测试、边界值、权限等场景。创新性提出Harness接口知识库方法论，实现机器可读的业务规则沉淀。重点介绍Skill驱动自动化流程，通过四步法训练专属用例生成能力，并建立量化评审体系（覆盖度/清晰度等5维度）。最后给出财政系统落地建议，强调接口文档与业务规则
2026-06-05 10:57:49
432
原创 03 — Playwright AI 自动化测试完全指南
文章摘要 《Playwright AI 自动化测试完全指南》系统介绍了微软Playwright测试框架在财政系统Web端到端测试中的应用。文章对比Playwright与Selenium/Cypress的优势，包括原生支持多浏览器、自动等待和AI集成等特性。详细讲解定位器策略、高频问题解决方案，并重点演示Playwright与AI Agent的深度整合：通过Planner、Generator、Healer三个Agent实现测试自动化编写与修复，结合MCP服务进行智能分析。还介绍了CDP Bridge复用登录态
2026-06-05 10:56:34
399
原创 02 — Agent / Skills / MCP 测试实战指南
本文介绍了AI测试框架的三层架构（Agent/Skills/MCP）及其在财政系统测试场景中的应用。主要内容包括： 架构解析： Agent作为决策大脑协调任务 Skills作为可复用操作流程 MCP连接外部工具执行操作 核心机制： Skill的标准化文件结构 分层加载和渐进式披露机制 编写规范与最佳实践 测试场景实战： 测试计划/用例自动生成 JMeter脚本生成 接口测试用例生成 用例审核与需求评审 集成指南： Playwright和CDP Bridge等MCP工具配置 复用浏览器会话等高级功能 全文提供
2026-06-05 10:55:12
388
原创 01 — Hermes Agent 从入门到精通
位置作用：全局身份、语气、协作方式适用场景：所有会话、所有项目SOUL.md 不应该包含的内容❌ 项目路径、端口、启动命令 → 这些放 AGENTS.md❌ API Key/Token/密码 → 放 .env❌ 空泛的"请认真工作" → 没信息量SOUL.md 应该写的位置：项目根目录（放在 STDT 这种具体项目下）作用：特定项目的目录结构、命令、规则适用场景：在该目录下启动 Hermes 时自动加载常见错误❌ 把 SOUL.md 放到项目目录（应该放~/.hermes/
2026-06-05 10:53:06
389
原创 SSRF漏洞：服务器端请求伪造的攻击与防御
本文系统讲解了SSRF（服务器端请求伪造）漏洞的原理、利用方式和防御措施。SSRF通过让服务器代为发起请求，可探测内网、读取文件、访问云Metadata等，危害严重。文章详细介绍了SSRF与CSRF的区别、常见利用手法（如内网探测、文件读取、云Metadata访问、Redis攻击等）以及绕过技巧（IP地址绕过、URL解析绕过等）。防御方面建议采用协议限制、IP黑名单、URL白名单等方法。最后提供了SSRF测试清单和作者信息，并推荐了几款AI工具。全文150字。
2026-05-22 17:01:09
432
原创 命令注入与代码执行：RCE漏洞实战利用总结
RCE漏洞实战利用总结 远程命令执行(RCE)是Web安全中最危险的漏洞之一，分为命令注入和代码执行两类。命令注入发生在应用调用系统命令时未过滤用户输入，常见于PHP的shell_exec()、Python的os.system()等函数。代码执行则是动态执行用户可控代码，如PHP的eval()、Python的pickle反序列化等。 攻击者可通过特殊字符拼接(如分号、管道符)、编码绕过、环境变量等方式突破过滤。典型利用路径包括：执行系统命令、读取敏感文件、反弹Shell、写入WebShell等。防御措施应包
2026-05-22 17:00:23
332
原创 CSRF漏洞：你的请求正在被第三方悄悄利用
本文系统讲解了CSRF（跨站请求伪造）漏洞的原理、利用方式和防御方案。CSRF通过诱导用户访问恶意页面，利用已登录身份伪造请求，可导致密码修改、转账等危害。文章详细分析了GET/POST型CSRF攻击手法，以及如何绕过Token防护，并提供了防御建议如CSRF Token、SameSite Cookie等。作者强调CSRF配合XSS使用时危害更大，是渗透测试中不可忽视的安全问题。文章最后提供了CSRF测试清单和AI工具推荐。
2026-05-22 16:59:15
414
原创 XSS深度剖析：从弹窗到持久化窃取Cookie
《XSS深度剖析：从弹窗到持久化窃取Cookie》摘要 本文系统讲解了XSS漏洞的原理、分类、探测与绕过技巧，以及实战利用方法。XSS本质是HTML注入，分为反射型、存储型和DOM型三类。文章详细介绍了多种绕过WAF的技巧，包括编码混淆、事件属性利用等。实战部分展示了如何窃取Cookie、使用BeEF框架、键盘记录和钓鱼攻击。最后提供了防护方案，包括输入过滤、输出转义、CSP策略和Cookie安全标记。XSS不仅是弹窗测试，更是Web安全中的关键攻击手段，需要全面防护。
2026-05-22 16:58:12
547
msfconsole讲解.pptx
2019-09-27
orai18n.jar
2020-12-04
Centos_repo.zip
2019-12-10
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人