从这里开始：阅读路线图
这份手册是给应用安全岗的你准备的。先花 3 分钟读这一页，看清顺序，再逐篇往下走。
一句话总纲：安全 = 资产 × 威胁 × 脆弱性 × 影响。 学会用这四个词，拆一切安全问题。
一、阅读顺序（5 步，照着走）
| 顺序 | 篇 | 讲什么 | 读完你应该能 |
|---|---|---|---|
| 1 | 00 开篇·四要素 | 立刀：资产 / 威胁 / 脆弱性 / 影响 | 用四个词描述任何一个安全问题 |
| 2 | 01 漏洞与定级 | 脆弱性 + 定级：CVE/CVSS + 七步决策链 | 拿到一条 CVE，走七步判断”今晚修不修” |
| 3 | 03 拆解方法论 | 威胁：STRIDE + 攻击链 + 风险分析 | 用 STRIDE / 攻击链拆”会怎么被打” |
| 4 | 02 产品地图 | 工具：每个产品解决哪个要素 | 一眼看穿任何安全产品的边界和盲区 |
| 5 | 04 案例库（5 篇） | 实战：25 个案例 | 遮住答案，自己拆 25 个问题 |
二、为什么是这个顺序
- 先立刀（00），再砍第一刀（01）。 00 给你四个词，01 用这四个词拆你最熟悉的”CVE 定级”——这是应用安全的入口，也是你每天的活。先把它吃透。
- 01 之后再学 03（威胁建模）。 因为 01 的定级决策链里，你已经碰到了”威胁”（可达/暴露/在野），03 把它系统地展开——教你从”攻击者视角”看问题。这是从”防守思维”升级到”对抗思维”的关键一步。
- 02（产品）放后面。 因为产品是”工具”，你得先想清楚”我要解决哪个要素的问题”，才看得懂”每个产品解决哪个要素”。先想后做。
- 04 案例库最后上。 它是”考场”——用前面学的所有框架，去拆 25 个真实问题。顺序刻意放在最后，因为它需要前面所有刀。
三、怎么读（重点）
每一篇，都按这个节奏读：
- 先读正文，别跳。
- 每篇末尾都有思考题，先自己做，再对参考答案（答案当学习材料看，不是当测验）。
- 读完一篇，合上，用一句话复述：“这一篇教了我哪一把刀、砍什么。”
案例库（04）的读法有点不一样：
- 每个案例的结构是 问题 → 案例 → 一般人怎么想 → 咱们怎么想 → 分析过程 → 一句话启发。
- 遮住”咱们怎么想”和”分析过程”，先自己拆一遍，再对答案。 你练的是”拆”，不是”记”。
- 如果时间紧，案例库 5 篇按这个优先级精读：04 定级研判 > 01 漏洞事件 > 03 攻防场景 > 02 攻击事件 > 05 产品盲区。前两篇直接焊在你的日常上，务必精读。
四、读完的标准（自我验收）
走到最后，你不应该”背下 25 个案例”，而应该做到这三件事：
- 看到一个漏洞，能说出：“它是什么脆弱性？威胁好不好打？打中我什么资产、疼多大？”
- 看到一个产品，能说出：“它守什么资产、解决哪个要素、盲区在哪。”
- 看到一个安全问题，能自己拆——不用翻手册，自动走”四要素 → 定级决策链 / 攻击链”。
做到第 3 条，这套东西就长在你身上了。 那时你会明白，前面聊的那个”层次感来自拆解”——你已经从”写代码的人”，变成了”会拆问题的人”。
手册目录：00 开篇 → 01 漏洞与定级 → 03 拆解方法论 → 02 产品地图 → 04 案例库（01~05）。