mcpField
W
web-security-review

web-security-review

github.com/owasp安全208636 次安装2 周前更新
代码仓库

关于 web-security-review

用于依据 OWASP Top 10 评估 Web 应用的安全审查技能，涵盖应用映射、框架专项检查和配置审查，并输出风险矩阵与修复路线图。

主要功能

  1. 01应用与信任边界梳理
  2. 02覆盖 OWASP Top 10 的检查
  3. 03框架专项安全分析
  4. 04Web 服务与部署配置审查
  5. 05风险矩阵与修复路线图

适用场景

  1. 01发布前审查 Web 应用
  2. 02评估身份验证与数据处理风险
  3. 03检查框架和服务器配置

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill web-security-review

安装后在 Claude Code 中输入/web-security-review确认已加载。

详细介绍

Web Security Review (OWASP Top 10)

请按照 plays/owasp-top10-web-review.md 中的完整流程，对 Web 应用进行审查，检查 OWASP Top 10 中的全部 10 项风险。

步骤

  1. 应用映射 — 确定框架和语言、部署模式（单体／微服务）、信任边界（互联网／内部／本地）、数据敏感性（个人身份信息、财务、健康）以及身份验证机制。

  2. 评估每项 OWASP Top 10 风险：

    • A01 访问控制失效 — 缺少授权检查、IDOR、权限提升、路径遍历、CORS 配置错误
    • A02 加密机制失效 — 算法薄弱、缺少 TLS、硬编码密钥、密钥管理不当、明文存储
    • A03 注入 — SQLi、NoSQLi、OS 命令注入、LDAP 注入、XSS、SSTI、XPath 注入
    • A04 不安全设计 — 缺少安全要求、业务逻辑缺陷、不安全的工作流、威胁建模存在缺口
    • A05 安全配置错误 — 默认配置、错误信息过于详细、缺少安全头、启用不必要的功能、组件过时
    • A06 易受攻击的组件 — 未修补的库、不受支持的依赖项、缺少清单、缺少 SBOM
    • A07 身份识别与身份验证失效 — 密码薄弱、会话问题、MFA 缺口、凭据填充攻击、暴力破解
    • A08 软件与数据完整性失效 — 不安全的反序列化、更新未经签名、CI/CD 攻击、依赖项混淆
    • A09 安全日志记录与监控失效 — 缺少审计日志、监控不足、不具备事件响应能力
    • A10 服务端请求伪造（SSRF） — URL 参数未经验证、访问内部服务、云元数据端点

  3. 特定框架分析 — 根据检测到的框架（React、Angular、Vue、Express、Django、Flask、Rails、Spring、ASP.NET、Laravel）执行相应检查。

  4. 配置审查 — 检查 Web 服务配置（nginx、Apache）、应用配置和部署清单中的安全设置。

输出

应用概览；涵盖全部 10 个类别并注明严重性／状态的风险矩阵；使用 templates/finding.md 编写的详细发现；观察到的有效安全控制；以及按优先级排列的修复路线图。

OWASP 参考资料

  • OWASP Web 应用程序 Top 10（2021）
  • OWASP ASVS v5.0 — 应用程序安全验证标准
  • OWASP 测试指南（WSTG）
  • OWASP 备忘单系列

评论

支持 Markdown