Не соглашусь с коллегами что 'нечего там учиться, и так все понятно' :) Тема большая и интересная, там копать не перекопать.
Я не специалист, но картинка представляется такой:
- по информации - курить owasp, как минимум. Попадались сайты с переводами статей с оваспа, и своими материалами по web security;
- по разработке - обвешиваетесь статическими анализаторами (SonarQube, Bandit для питона, и тд). Анализатор укажет подозрительные места, а вы прокачиваетесь в понимании возможных векторов атаки;
- по тестированию - проверять сканерами типа OWASP Zap,
https://www.ssllabs.com/ssltest/analyze.html . Опять таки, разбор срабатываний даст понимание того как вас могут атаковать, как можно делать, и как нельзя;