南方的冬天总是来得很突然，昨天还穿着卫衣，今天就得裹上棉被了。宿舍没有暖气，我开了空调制热，又泡了一杯速溶咖啡，开始今天的例行学习。

最近在跟一门 Web 安全的课。说实话，之前总觉得安全离自己很远——我不过是个写写脚本、搭搭网站的普通学生，谁会来攻击我？但第一节课讲 XSS 的时候，老师演示了一个简单的弹窗注入，我就愣住了。原来网页上的输入框，背后藏着这么多门道。

下午试着在本地搭了一个 DVWA（Damn Vulnerable Web Application），用 Docker 几分钟就跑起来了。先从最简单的反射型 XSS 开始，在输入框里敲下 <script>alert('xss')</script>，看到弹窗的一瞬间，说不上是兴奋还是后怕——原来攻击可以这么简单。

晚上去食堂吃饭。路上的银杏叶快落光了，踩上去沙沙响。我突然想起今天课上老师说的那句话：“安全不是一门技术，而是一种思维方式。” 大概说的就是从”功能能跑就行”到”每一行输入都不可信”的转变吧。

回到宿舍继续看了一会 CSRF 的原理，困了。明天还得早起复习期末考试，先睡了。