OWASP
OWASP（开放 Web 应用安全项目）是非营利组织，发布 Top 10 Web 漏洞清单与安全实践指南，是 Web 安全权威。
用途
为 Web 应用安全提供开源知识、工具与标准，帮助开发者构建安全应用。
机制
OWASP Top 10 定期更新最严重 Web 漏洞（注入、XSS、错误配置等）。还发布 Cheat Sheet 系列、ASVS（应用安全验证标准）、ZAP（扫描工具）。社区驱动，非商业。
用例
- Web 安全开发参考
- 安全审计与评估
- 安全培训
- 合规对照
示例
- 输入
OWASP Top 10:2021输出A01 Broken Access Control etc.10 vulnerability classes
常见错误
- Checking only against the Top 10 while ignoring other vulnerabilities
- Treat the Top 10 as a starting point; use ASVS for full assessment
相关词条
XSS
XSS（跨站脚本）是攻击者将恶意脚本注入网页，在其他用户浏览器中执行的漏洞，分为存储型、反射型与 DOM 型。 词汇表
CSRF
CSRF（跨站请求伪造）是攻击者诱导已登录用户在不知情下向目标站点发送恶意请求的漏洞。 词汇表
SQL Injection
SQL 注入是攻击者将恶意 SQL 片段拼入查询字符串，使数据库执行非预期命令的漏洞。 词汇表
CVE
CVE（通用漏洞披露）是为公开安全漏洞分配唯一标识符（CVE-YYYY-NNNN）的体系，由 MITRE 维护。 词汇表
CVSS
CVSS（通用漏洞评分系统）是评估漏洞严重性的标准化评分体系，输出 0-10 分，由 FIRST 维护。 词汇表