常见的网络攻击
恶意软件指具有险恶意图的程序，如病毒、勒索软件、间谍软件等，常通过钓鱼邮件或漏洞入侵系统，窃取数据、破坏功能或控制设备。网络钓鱼伪装成可信来源骗取敏感信息；中间人攻击则窃听并篡改通信；DDoS攻击以海量流量瘫痪服务，近年规模与频率持续上升；SQL注入利用漏洞非法获取数据库信息；零日攻击趁漏洞未修复时发动；DNS隧道则借合法协议隐藏恶意流量，构成复杂威胁。
CSRF攻击
CSRF（跨站请求伪造）攻击利用用户登录状态，诱使其在不知情下发起恶意请求。攻击者构造链接或隐藏请求，借助用户身份执行操作，如发帖、转账等。防御措施包括：使用Token验证、SameSite Cookie、检查Referer、避免GET修改数据、添加验证码等，有效防止第三方冒充用户行为，保障账户与数据安全。
web阶段
HTTP协议即“超文本传输协议”，是客户端与服务器通信的规则，基于TCP协议，具有无状态、面向连接的特点。现代Web开发多采用HTTP或HTTPS协议。二者主要区别在于安全性：HTTP明文传输，端口80；HTTPS通过SSL加密，端口443，更安全但耗资源。常见请求方式中，GET用于获取数据，参数暴露在URL，有长度限制。
常见的网络攻击
恶意软件、网络钓鱼、中间人攻击、DDoS攻击、SQL注入、零日漏洞及DNS隧道是常见网络安全威胁。恶意软件通过漏洞入侵，窃取数据或破坏系统；网络钓鱼伪装可信来源骗取信息；MitM攻击窃听通信；DDoS以海量流量瘫痪服务；SQL注入操控数据库；零日攻击利用未修复漏洞；DNS隧道则隐藏恶意数据传输，严重威胁网络安全。
虚拟机环境说明
挂载CentOS 7虚拟机镜像，设置NAT网络为192.168.100.0网段，配置网络适配器并启动。虚拟机IP为192.168.100.168，root密码1234，可使用FinalShell连接操作。
通用权限管理模型
本文介绍了ACL、RBAC等常见权限模型。ACL通过用户/角色与权限直接绑定实现控制；RBAC则基于角色分层授权，包含RBAC0~3四个级别，支持角色继承与职责分离，提升系统权限管理的灵活性与安全性，为权限设计提供理论基础。
RememberMe简介
RememberMe是一种保持用户登录状态的机制，不同于简单存储用户名密码。它通过服务端生成持久化Token，存于Cookie中，用户重开浏览器后自动校验，实现免密登录，提升体验同时兼顾安全，避免因明文保存凭证带来的风险。
认证流程分析
`UsernamePasswordAuthenticationFilter` 是 Spring Security 处理表单登录的核心过滤器，拦截 `/login` 的 POST 请求，提取用户名密码并封装成 `UsernamePasswordAuthenticationToken`，交由 `AuthenticationManager` 执行认证。后者通过 `AuthenticationProvider` 链委托给
了解SQL注入
SQL注入是通过恶意输入操控数据库的攻击方式，可导致身份绕过、数据泄露等严重后果。利用参数化查询、输入验证及白名单策略可有效防御，同时需屏蔽敏感错误信息，结合网络层防护如IPS增强安全。
