关于 owasp-top-10
面向安全审计与开发工作的技能，依据 OWASP Top 10 2021 提供漏洞识别、预防和修复指导，并附有各类风险的参考资料与评估流程。
主要功能
- 01覆盖 OWASP Top 10 2021 风险
- 02提供漏洞分类参考资料
- 03指导审计与修复流程
- 04包含安全编码原则
适用场景
- 01审查应用代码和认证授权
- 02评估输入验证与第三方依赖
- 03记录漏洞并验证修复
- 04准备安全合规审计
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/owasp-top-10确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/assessment-workflow.mdauthentication-failures.mdbroken-access-control.mdcryptographic-failures.mdinjection.mdinsecure-design.mdintegrity-failures.mdlogging-monitoring.mdprevention-strategies.mdsecurity-misconfiguration.mdssrf.mdvulnerable-components.md详细介绍
OWASP Top 10 安全漏洞
基于 OWASP Top 10 2021，提供识别、预防和修复最严重 Web 应用安全风险的专家指导。
何时使用此技能
- 开展安全审计和代码审查
- 在新功能中实施安全编码实践
- 审查身份验证和授权系统
- 评估输入验证和清理
- 评估第三方依赖项是否存在漏洞
- 设计安全控制和纵深防御策略
- 为安全认证或合规审计做准备
- 调查安全事件或可疑行为
OWASP Top 10 2021 概览
按风险严重程度排序：
- A01 - 访问控制失效（从第 5 位上升）
- A02 - 加密失效（原为敏感数据泄露）
- A03 - 注入（从第 1 位下降）
- A04 - 不安全设计（新增）
- A05 - 安全配置错误
- A06 - 易受攻击和过时的组件
- A07 - 身份识别和身份验证失效
- A08 - 软件和数据完整性失效（新增）
- A09 - 安全日志记录和监控失效
- A10 - 服务端请求伪造（SSRF）（新增）
快速参考
加载每类漏洞的详细指导：
| 漏洞 | 参考文件 |
|---|---|
| 访问控制失效 | skills/owasp-top-10/references/broken-access-control.md |
| 加密失效 | skills/owasp-top-10/references/cryptographic-failures.md |
| 注入 | skills/owasp-top-10/references/injection.md |
| 不安全设计 | skills/owasp-top-10/references/insecure-design.md |
| 安全配置错误 | skills/owasp-top-10/references/security-misconfiguration.md |
| 易受攻击的组件 | skills/owasp-top-10/references/vulnerable-components.md |
| 身份验证失效 | skills/owasp-top-10/references/authentication-failures.md |
| 完整性失效 | skills/owasp-top-10/references/integrity-failures.md |
| 日志记录和监控 | skills/owasp-top-10/references/logging-monitoring.md |
| SSRF | skills/owasp-top-10/references/ssrf.md |
| 预防策略 | skills/owasp-top-10/references/prevention-strategies.md |
| 评估工作流 | skills/owasp-top-10/references/assessment-workflow.md |
安全审计工作流
- 确定范围：确定应用组件和攻击面
- 选择漏洞类别：根据功能选择相关的 OWASP 类别
- 加载参考资料：阅读相应的参考文件，了解详细模式
- 分析代码：对照易受攻击和安全的模式审查代码
- 记录发现：记录漏洞及其严重程度和修复措施
- 验证修复：测试修复措施是否妥善解决问题
- 测试安全性：运行自动化安全测试（SAST、DAST、SCA）
核心安全原则
纵深防御
- 在网络、应用、数据和监控层面部署多层安全控制
- 确保单项控制失效不会危及整个系统
默认安全
- 默认拒绝所有访问，明确授予权限
- 安全失败（错误不会泄露敏感信息）
- 尽量缩小攻击面（禁用未使用的功能）
- 对所有账户和服务实施最小权限原则
输入验证
- 验证类型、长度、格式和允许的值
- 优先使用允许列表，而非拒绝列表
- 针对具体上下文进行清理（SQL、HTML、shell 等）
- 绝不信任客户端输入
常见错误
- 信任用户输入：始终验证并清理所有用户提供的数据
- 自行开发加密算法：使用成熟的库（bcrypt、AES-256）
- 暴露错误信息：在内部记录详细错误，向用户显示通用消息
- 缺少授权检查：对每个请求检查权限，而不只是 UI
- 会话管理薄弱：使用安全的 httpOnly、sameSite Cookie，并启用 HTTPS
- 忽视依赖项：定期审计并更新第三方库
- 没有日志记录：记录安全事件，以便检测和响应事故
- 默认配置：强化所有系统，禁用默认设置
安全测试工具
SAST（静态分析）：SonarQube、Semgrep、ESLint 安全插件 DAST（动态分析）：OWASP ZAP、Burp Suite SCA（依赖项分析）：npm audit、Snyk、Dependabot 机密扫描：GitGuardian、TruffleHog 渗透测试：Metasploit、Kali Linux 工具
资源
- OWASP Top 10 2021：https://owasp.org/Top10/
- OWASP Cheat Sheets：https://cheatsheetseries.owasp.org/
- OWASP ASVS：应用安全验证标准
- CWE Top 25：常见弱点枚举
- NIST 网络安全框架：https://www.nist.gov/cyberframework
- CVE 数据库：https://cve.mitre.org/
- Snyk 漏洞数据库：https://snyk.io/vuln/
评论
支持 Markdown