打开网页时，浏览器会向远端服务器发起请求获取资源，将返回的代码渲染为页面，并在用户点击或输入时继续与服务器交换数据。
互联网、万维网与 Web 应用
日常所说的“上网”和“浏览网页”处于不同层次：
- 互联网（Internet）与万维网（Web）：互联网是底层的全球计算机网络，通过 TCP/IP 协议连接路由器、交换机和服务器来传输数据包；万维网（World Wide Web，简称 Web）是建立在互联网之上的信息访问体系，使用 URL 标识资源位置，通过 HTTP/HTTPS 协议传输网页。收发邮件（SMTP/IMAP）、远程登录（SSH）、域名解析（DNS）同样运行在互联网上，但不属于 Web。
- 网页（Web Page）与网站（Website）：浏览器打开的单个文档称为网页；同一域名下组织在一起的一组网页称为网站。
- Web 应用程序（Web Application）：除展示图文外，还支持搜索、登录、加入书架、发表评论等交互逻辑的动态网站。
前端与后端
早期网站只由服务器将磁盘上的静态 .html 文件发给浏览器。现代 Web 应用通常拆分为客户端（前端）和服务端（后端）两部分：
- 前端（Front-End，客户端）：运行在用户浏览器中的代码，负责页面排版、样式展示、响应键鼠事件并向服务器发起网络请求，主要由三部分组成：
- HTML（超文本标记语言）：定义页面结构，如标题、段落、链接、图片和输入框。
- CSS（层叠样式表）：定义视觉样式，如字号、颜色、间距和页面布局。
- JavaScript（JS 脚本）：处理页面交互，监听点击事件、动态修改页面元素或在后台与服务器收发数据。
- 后端（Back-End，服务端）：运行在服务器上的程序和数据库，负责校验账号密码、判断权限、处理业务逻辑并持久化存储数据。
Web 安全测试的一项基础原则是区分前后端的信任边界：前端代码运行在用户的本地设备上，用户可以任意查看或修改；权限校验与业务状态必须以服务端和数据库的记录为准。