java代码审计用到的工具不算太多，反编译的话jd-gui、fernflower，然后审计代码就用idea，然后就是自己多备几个中间件用来搭建代码环境，用来验证审计出来的问题。
学习的话，如果确定自己可以做到大致看得懂代码的意思，就可以学一下漏洞的原理（可以直接学习sql、文件上传、反序列化等高危漏洞，毕竟大部分人学代码审计不是为了找XSS和低级逻辑漏洞的），这俩都具备了之后就可以直接找开源代码进行审计了。
刚开始的时候可以搜某些历史出名漏洞的分析文章，比如shiro550、fastjson等，临摹大佬的文章，跟着一步一步走，学习一下思路跟审计的流程，这样比直接审计的效率要高。
路得一步一步走，饭得一口一口吃
你有基础，直接上手项目，跟着别人的项目挖，多挖几个项目就好了。代码审计可以先不看反序列化这些漏洞，先过top10漏洞，熟悉后再去研究反序列化也可以的。
我的建议说不断的复线，一套一套源码的审计这样你就能明白整个代码的进化史了，
