owasp-security-review

OWASP Top 10：2025 安全审查

<quick_reference>

快速参考

#	类别	主要风险	平均发生率
A01	访问控制失效	未经授权的数据访问、权限提升、SSRF、CSRF	3.74%
A02	安全配置错误	默认凭据、详细错误信息、缺少安全加固、XXE	3.00%
A03	软件供应链故障	易受攻击或恶意的依赖项、遭到入侵的构建流水线	5.72%
A04	加密失效	弱算法、硬编码密钥、缺少加密、弱哈希	3.80%
A05	注入	SQLi、XSS、命令注入、LDAP/XPath/EL 注入	3.08%
A06	不安全设计	缺少威胁建模、业务逻辑缺陷、控制措施不足	1.86%
A07	身份验证失效	凭据填充、弱密码、会话固定、缺少 MFA	2.92%
A08	软件/数据完整性失效	未签名的更新、不安全的反序列化、不可信的 CDN 代码	2.75%
A09	安全日志记录与告警失效	缺少审计日志、没有告警、日志注入、日志中包含敏感数据	3.91%
A10	异常情况处理不当	失败时默认放行、通过错误泄露信息、未检查返回值	2.95%

严重性分类

报告发现时请使用以下严重性级别：

• 严重：可直接利用，会导致整个系统遭到入侵或大规模数据泄露（例如，未使用参数化查询的 SQLi、硬编码的管理员凭据、管理端点缺少身份验证）。
• 高：利用需要适度的成本，会导致大量数据暴露或权限提升（例如，IDOR、弱密码哈希、SSRF、反序列化不可信数据）。
• 中：在特定条件下可利用，影响有限（例如，缺少 CSRF 防护、错误信息过于详细、缺少安全标头）。
• 低：纵深防御问题，直接影响最小（例如，缺少速率限制、日志记录不完整、加密配置欠佳）。

</quick_reference>

工作流

<phase_1_code_review>

代码安全审查

按照每个相关类别系统地检查代码：

1. 确定代码的攻击面 — 是否处理身份验证？用户输入？文件上传？外部数据？加密？错误响应？
2. 根据攻击面从上表中选择相关类别。
3. 加载每个相关类别的参考文件，并根据“检查要点”部分检查代码。
4. 按类别汇总报告发现，注明严重性（严重/高/中/低）、具体代码位置以及切实可行的修复方案。

审查优先顺序（按影响从高到低）：

• [严重] 输入处理代码 → A05（注入）、A01（访问控制）
• [严重] 身份验证/会话代码 → A07（身份验证）、A01（访问控制）
• [高] 数据存储/传输 → A04（加密失效）
• [高] 配置/部署 → A02（安全配置错误）
• [高] 依赖项 → A03（供应链）
• [中] 错误处理 → A10（异常情况）、A09（日志记录）
• [中] 架构/设计 → A06（不安全设计）
• [中] 数据完整性 → A08（完整性失效） </phase_1_code_review>

<phase_2_audit_checklist>

安全审计清单

为某项功能或代码库生成清单：

1. 阅读该功能或代码库，了解其范围。
2. 对 10 个类别逐一判断是否适用。
3. 对适用的类别，加载参考文件并生成待核查事项清单。
4. 按类别分组，输出 Markdown 清单。 </phase_2_audit_checklist>

<phase_3_remediation>

修复指导

发现漏洞时：

1. 将其归入正确的 OWASP 类别。
2. 加载对应的参考文件。
3. 应用预防清单，提出具体且可执行的修复方案。
4. 尽可能提供修复代码示例。 </phase_3_remediation>

参考文件

需要特定类别的详细指导时，请加载相关文件：

• A01 访问控制失效 — 授权检查、IDOR、CORS、CSRF、路径遍历：references/a01-broken-access-control.md
• A02 安全配置错误 — 安全加固、默认凭据、错误消息、标头、XXE：references/a02-security-misconfiguration.md
• A03 供应链失效 — 依赖管理、SBOM、构建流水线安全：references/a03-supply-chain-failures.md
• A04 加密失效 — 加密、哈希、密钥管理、TLS、PRNG：references/a04-cryptographic-failures.md
• A05 注入 — SQL、XSS、命令、ORM、LDAP、模板注入：references/a05-injection.md
• A06 不安全设计 — 威胁建模、业务逻辑、安全 SDLC：references/a06-insecure-design.md
• A07 身份验证失效 — 凭据填充攻击、MFA、会话管理、密码策略：references/a07-authentication-failures.md
• A08 完整性失效 — 反序列化、代码签名、不可信来源、CDN 信任：references/a08-integrity-failures.md
• A09 日志记录与告警失效 — 审计跟踪、日志注入、告警、日志中的敏感数据：references/a09-logging-alerting-failures.md
• A10 异常情况 — 错误处理、失败时关闭、资源清理、信息泄露：references/a10-exceptional-conditions.md

报告安全发现时，每项发现均使用 [template.md](template.md) 中的模板。