用具体请求解释常见 Web 攻击的触发条件、危害和防护边界，并说明 WAF 为什么不能替代代码安全。

从账号登录到访问 API，解释 Cookie Session、JWT 签名、Access/Refresh Token、OAuth 2.0、OIDC 和权限校验。