打开浏览器，电脑随便找个你常逛的网站网站，按下F12键。安全别慌，漏洞这不是电脑什么黑客仪式，只是网站把网页的“内脏”摊开给你看。你会看到一堆密密麻麻的安全代码，但真正值得你盯着的漏洞，是电脑“网络”这个标签页——那里记录着每一次请求和响应。我见过太多人以为安全漏洞是网站电影里那种闪光的黑客界面，实际上，安全它往往就藏在这些不起眼的漏洞HTTP状态码里。

第一步，电脑先看响应头。网站点开任意一个请求，安全找到“响应头”那一栏。重点找三个东西：`Content-Security-Policy`、`X-Frame-Options`和`Strict-Transport-Security`。如果这三个一个都没出现，恭喜你，这个网站等于没锁门就出门了。举个例子，我之前测试过一个小型电商站，它的登录页面完全没有`X-Frame-Options`，这意味着我能用一段iframe代码把整个登录框嵌到我的恶意网页上，用户以为自己输密码进淘宝，其实是在给我打工。这种点击劫持漏洞，肉眼根本看不出来，但响应头一测就现形。

第二步，玩一下地址栏。在网址后面手动加上`'`或者`"`，看看页面会不会报错。这是最土但最有效的SQL注入探测法。如果网站弹出一段数据库语法错误，那就说明它的后端没做参数过滤。我去年测试一个本地论坛，加了个单引号后，页面直接吐出一整行MySQL报错，连表名都暴露了。那种感觉就像你随手拧了下门把手，门就开了——不是技术多高明，是对方压根没上锁。

第三步，检查Cookie。按F12切到“应用”标签，找到Cookie列表。看`HttpOnly`这一列，如果登录后的Cookie没有标记`HttpOnly`，那攻击者就能通过XSS脚本偷走你的会话。更糟糕的是，如果`Secure`标记也没打，那这个Cookie在HTTP明文连接下也会被发送——公共WiFi下，谁都能截获它。我自己的习惯是，测试任何网站先看它的Cookie属性，这比看什么漏洞扫描报告直观多了。

别急着下载那些所谓的“安全扫描工具”，它们确实能扫出东西，但多半是些无关痛痒的警告，就像体检报告里写“建议多喝水”一样，没实际意义。真正有用的，是你手动去触发一些异常。比如，找个上传头像的地方，传一个改后缀名的`.php`文件，看它会不会执行。或者，在搜索框里输入``，如果弹窗了，那就是个存储型XSS——这个漏洞能让你在别人浏览器里干任何事。

我自己最常用的土办法，是看网站的报错页面。把URL改成不存在的路径，比如`/sdfjksdf`，如果返回的是自定义的404页面，说明开发人员做了基本防护。如果直接暴露了服务器版本号、框架名称甚至文件路径，那这个网站的管理员连基础配置都没做。这种网站，你都不用费劲找漏洞，直接去网上搜它的框架漏洞库，照着打就行了。

最后说句实在话，你不需要成为安全专家才能看漏洞。多数网站的防御薄得跟纸一样，只要你会看响应头、会改几个参数、会观察异常反应，就能发现八成以上常见问题。这就像修车——你不用懂发动机原理，但听声音就知道哪个零件松了。网站也一样，它回复你的每一行代码，都在暗示自己什么地方疼。