How to Learn Web & API Hacking in 2026 (Complete Roadmap)

• 1

  Web 基礎不可跳過：大多數人急著學漏洞卻跳過 HTTP 原理，但 HTTP 方法、Status Code、Headers（含 Cookie、CORS）是測試漏洞的底層邏輯。同一個漏洞在 GET 不存在但在 POST 存在，不懂這些就不會想到要去測。

• 2

  理解架構才能找漏洞：Client-Server 架構中，凡是從前端傳入的參數都不應被信任，這個思維是 IDOR、SQL Injection、XSS 等漏洞的根源。理解資料如何儲存與查詢、JWT 如何運作、OAuth 流程如何設計，是發現邏輯漏洞的關鍵。

• 3

  工具是手段，理解是核心：Nuclei、SQLmap 等自動化工具要等真正理解漏洞原理後再用；一開始就依賴工具只能短期奏效，無法找到深層漏洞，也無法通過面試或拿到認證。

• 4

  Bug Bounty 思維要主動輸出：讀真實漏洞報告、看 writeup 並理解攻擊成立的原因，比刷工具視頻更有效；學完 3-5 個漏洞類型就可以開始實戰狩獵，同時持續學習，並在 LinkedIn 分享成果以建立個人品牌。

• 程式語言
• JavaScript（理解 Web 應用前端結構與 XSS）
• Python（工具開發、理解現有工具邏輯，需學迴圈、函式、條件邏輯）
• SQL（理解資料庫操作，有助於 SQL Injection 利用）
• Bash（Linux 自動化，滲透環境必備）
• Web 基礎知識點
• HTTP/HTTPS 協定完整理解
• Request/Response 結構（body、parameters、data flow）
• HTTP Methods：GET、POST、PUT、PATCH、DELETE
• Status Codes 全覽
• Headers：Cookie、Auth header、Content-Type、CORS policy
• 工具清單
• Burp Suite（Intercept、Repeater、Intruder、HTTP History）
• Postman（API 測試）
• Browser DevTools（無需 Burp 即可證明部分漏洞，如資訊洩露）
• curl（命令列 API 測試）
• Nuclei（Template 自動化掃描）
• SQLmap（SQL Injection 自動利用）
• 認證路線（難度遞增）
• BSCP（Burp Suite Certified Practitioner）— 手動 Web 漏洞發現
• APISec Certified Expert — 純 API 安全專注
• eWPTX（eLearnSecurity Web Application Penetration Tester eXtreme）— 專業 Web 滲透
• OSWE（Offensive Security Web Expert）— 白箱代碼審計，職業級
• 推薦實驗平台
• PortSwigger Web Security Academy（大量 XSS、存取控制、Auth Labs）
• OWASP Juice Shop
• BWAP / DVWA
• TryHackMe（有引導學習路徑）
• HackTheBox（挑戰導向）
• crAPI（講者有實戰教學影片）
• APISec University（GitHub 可取，本地架設）
• Swagger API Labs
• 推薦書籍
• Hacking APIs by Corey J. Ball（A 到 Z 完整 API 安全）
• 認證與授權理解要點
• Session-based vs Token-based（JWT）認證
• OAuth 流程
• RBAC、功能層級存取控制
• 常見錯誤：弱 Session 管理、token 洩露、越權

“Web/API 安全的學習成效取決於「理解原理再用工具」的順序，跳過基礎直接跑掃描器，短期有效但長期無法突破，也無法通過職業認證面試。”