OWASP Top 10
OWASP Top 10 是一份定期更新的清单，列出 Web 应用中最关键、最常见的安全风险，由亲眼看到实际被利用情况的从业者编写。与其说它是合规检查清单，不如说它是一张地图，标出攻击者把时间花在哪里：失效的访问控制、注入缺陷、加密失败、安全配置错误，以及当前清单上的其余各项。
这份清单值得认真对待，原因不在于新颖，其中大多数问题类别已存在多年，而在于它们的持久性。失效的访问控制和注入长期位居这份清单前列，是因为它们不断出现在真实的应用中，包括经验丰富的团队开发的应用；它们很容易被引入，在没有专门针对它们的代码审查中也很容易被漏掉。
我如何对照它进行评估
我会像真正的攻击者那样，针对每个类别测试您的应用，而不只是运行扫描器再把输出转发给您，而是人工验证哪些确实可被利用、哪些是扫描器误报。尤其是访问控制问题，需要有人去看实际的业务逻辑，因为工具很少能可靠地自行发现它们。
它与其他测试的关系
OWASP Top 10 是一个很好的基线，但它明确并不详尽：它列出的是最常见的风险，而不是您的具体应用面临的每一种可能的风险。对于处理敏感数据或面临重大威胁的应用，我把它视为评估的底线而不是上限，并在此之上审视您应用自身逻辑和架构所特有的问题。
如果您想了解自己的 Web 应用在这些风险面前究竟处于什么位置，我们来确定评估范围。