OWASP Top 10

从社区投票到行业标准

2001 年，开放式 Web 应用安全项目（OWASP）在美国马里兰州成立，最初是一个松散的安全爱好者社区。2003 年发布第一版 Top 10，罗列了当时最常见的 Web 攻击类型。此后榜单随技术演进不断更新：2010 年加入了跨站请求伪造（CSRF），2013 年版将安全配置错误单独列出，2017 年版引入了 XML 外部实体注入（XXE）和不安全反序列化两个新类别，2021 年版则将不安全设计作为独立风险首次登榜。

每次修订都依赖大规模数据收集：2021 年版汇集了来自全球 40 多个组织提交的逾 50 万个真实应用的漏洞数据，并结合社区调查评估「可利用性」和「影响程度」。[1]

2021 版十大风险

• A01 访问控制失效：连续多年位居首位，包括越权读写、URL 绕过、缺少对象级授权等。
• A02 加密失败：前版称「敏感数据泄露」，核心是密码明文存储、HTTP 传输、弱算法等。
• A03 注入：SQL 注入、命令注入、LDAP 注入的统称，历史最悠久的漏洞类别。
• A04 不安全设计：2021 年新增，强调安全必须在设计阶段介入，而非修补阶段。
• A05 安全配置错误：默认凭证、暴露的调试接口、宽泛的 CORS 策略等。
• A06 易受攻击和过时的组件：Log4Shell（CVE-2021-44228）是近年最典型的案例。
• A07 身份认证和会话管理失效：弱密码、凭证填充攻击的温床。
• A08 软件和数据完整性失效：CI/CD 管道投毒、不安全反序列化。
• A09 安全日志和监控失效：缺乏告警导致攻击者可长期潜伏。
• A10 服务端请求伪造（SSRF）：云原生架构兴起后危害急剧上升，首次独立进榜。