《Web 安全测试 Cookbook》§1 简介 §1.2 什么Web应用

§1.2 什么Web应用

       Web应用的共同点：通信使用HTTP协议，结果用HTML,输入使用GET,POST等方法。

       我们对web应用的定义：使用HTTP通信的软件。注意静态网页不符合这个定义，因为它没有软件。web应用必须有一定的商业逻辑(脚本, 程序, 宏等)的执行，输出务必有变化性。

       你可能会想到Secure Sockets Layer (SSL)，Transport Layer Security (TLS)，这些并不影响我们的测试。加密不过是保护会话的通道。HTTPS不过比HTTP在开始的时候有更多配置而已。

       本书未涉及一些符合该Web应用的其他程序，比如service-oriented architecture (SOA)，business-to-business (B2B)，electronic data interchange (EDI)

       这里的客户端不仅仅是浏览器，还有Adobe's Flash player，java应用, Adobe's PDF Reader等。

请求一般包含a URL, 参数, and metadata in the form of headers.

URL：Universal Resource Locator (URL)是一种特殊的Universal Resource Identifier (URI)。比如：。

方法一般有GET和POST。PROPFIND, OPTIONS, PUT, DELETE一般用于Distributed Authoring and Versioning (DAV)，我们不过多涉及。

http的入门参见：，官方定义：(。

HTTP是c-s架构的。

HTTP是无状态的。需要用户自己来确定连接的对应性。Cookies多数情况下可以实现这点。Session和状态的丢失容易导致安全问题。

HTTP是简单文本：本书一般用非传统客户端(测试工具)或者传统客户端 (web 浏览器)使用非传统方法 (使用测试插件)。