思政融入點
在復雜的文件包含場景中錘煉深度分析能力，培養穿透表象探究問題本質的求真精神，掌握系統性的風險識別與分析方法，提升復雜系統中預見和防范安全風險的專業素養，培養從單一漏洞修復到系統安全架構優化的全局思維。
核心內容
以中級文件包含漏洞為切入點，致力于培養學生在復雜場景中洞察本質、系統思考的安全分析能力。教師首先呈現幾種超越簡單路徑遍歷的復雜包含漏洞場景：多層包含場景中，多個模塊間相互包含可能形成非預期的代碼執行路徑；條件競爭導致的文件包含漏洞，要求分析代碼執行的時序性；通過環境變量進行的間接文件包含，需要理解系統運行時的上下文環境；以及現代開發框架特性可能引入的包含風險。每個場景都要求學生跳出“存在一個包含點”的簡單思維，去分析代碼執行流程、數據流傳遞、框架運行機制等多個維度，從而識別出真正的漏洞成因，練就發現深層隱患的“火眼金睛”。為了系統訓練這種深度分析能力，課堂開展“文件包含漏洞的根因分析與根治方案設計”專項訓練。給定一個已發現的漏洞案例，學生需要使用五問法等分析工具進行層層追問。通過連續追問，學生需要精準區分表面原因和根本原因，并提出不僅要修復當前漏洞，更要完善開發流程、加強人員培訓、建立安全編碼規范等系統性改進方案，實現從“治標”到“治本”的跨越，培養系統性解決問題的思維習慣。
教學應用建議
1. 要求學生選取一個歷史上影響較大的文件包含漏洞，追溯其從最初引入到最終被發現和修復的全過程，分析其根本原因、修復方案的演變以及從中應吸取的架構和流程教訓，培養歷史分析與經驗總結能力。
2. 提供一段存在多個層次安全問題的中型代碼模塊，要求學生扮演安全評審專家，不僅要找出具體漏洞，更要撰寫一份安全評審報告，從編碼規范、設計模式、架構缺陷等多方面提出系統性改進建議，提升全面評審與架構優化能力。
3. 引導學生使用STRIDE等威脅建模方法論，對一個模擬的業務系統進行完整的威脅建模，識別資產、繪制數據流圖、分析威脅、制定緩解措施，培養結構化的、前瞻性的安全分析思維。
