首先对项目整体架构进行梳理，明确各模块的职责、对外服务端口以及主要依赖。初步模块信息如下。

今天审计了一个后台客户管理系统。由于这是一个学习性质的项目，因此项目中存在较多安全问题，主要集中在认证与授权部分。

依旧是代码审计的一天，柿子先挑软的捏，找了一个 star 少的开源博客练手，没想到还是廖雪峰写的，项目不大，比较完善，只发现了一个存储行 xss 漏洞

这是我第一次真正意义上自己审出漏洞，想记录一下当时的过程。

apache shiro 是一个 java 安全框架，用于提供程序中的身份认证，授权控制，会话管理，加密管理等功能，常用于后台管理系统，cms 系统

一，链条总览

Rome 是一个用于 RSS/Atom Feed 解析与生成 的 Java 库，其作用是将不同格式的 Feed（RSS、Atom 等）统一抽象成 Java 对象，方便开发者进行读取、修改和生成。

一，调用链总览