OWASP Top 10:2025 第八版官方解读：十大 Web 应用安全风险榜单、变化与数据方法论全景

应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载本文以 OWASP Top 10 官方文档仓库中 2025 版引言英文版 / 意大利语版为骨架系统解读第八版十大 Web 应用安全风险榜单的构成、变化与排序逻辑哪些类别保持榜首、哪些跃升或下滑、哪些被合并与更名以及 OWASP 如何用 CVSS 评分数据与社区调查两条线索把近 589 个 CWE 归并成 10 大风险类别并完成量化评分。读完本文你将掌握 2025 版每一类别的关键统计口径、官方风险评分公式与排名机制并能顺着仓库内的类别详情页、数据贡献规范和多语言文档继续深挖。OWASP Top 10:2025 十大风险速览OWASP Top 10 是一份面向开发者与 Web 应用安全从业者的标准意识文档代表业界对 Web 应用最严重安全风险的广泛共识见 2025 首页说明。2025 版是自 2003 年以来的第八次发布榜单如下排名类别映射 CWE 数一句话要点A01Broken Access Control失效的访问控制40连续位居第一SSRF 并入本类A02Security Misconfiguration安全配置错误16从 2021 年第 5 位升至第 2 位A03Software Supply Chain Failures软件供应链失效5由 2021 年 A06 扩展而来社区调查中票选第一A04Cryptographic Failures加密机制失效32从第 2 位降至第 4 位A05Injection注入38从第 3 位降至第 5 位测试覆盖最广A06Insecure Design不安全设计—从第 4 位降至第 6 位A07Authentication Failures认证失效36更名自Identification and Authentication FailuresA08Software or Data Integrity Failures软件或数据完整性失效—保持第 8 位关注信任边界与完整性校验A09Security Logging and Alerting Failures安全日志与告警失效5更名自Security Logging and Monitoring FailuresA10Mishandling of Exceptional Conditions异常条件处理不当242025 年全新类别2025 年榜单发生了什么变化与 2021 版相比2025 版引入了两个新类别和一次合并。团队尽可能把关注点放在根因而非症状上同时考虑到软件工程与应用安全的复杂度十个类别之间不可避免地存在一定程度的重叠。下图展示了 2021 与 2025 各版本类别之间的映射关系其中虚线表示 Server-Side Request ForgerySSRF被并入 A01 类别A01:2025 – Broken Access Control稳居第一SSRF 并入该类别继续位列第 1是当前最严重的应用安全风险。贡献数据显示平均有 3.73% 的被测应用存在本类 40 个 CWE 中的一个或多个。SSRF 通过合并被纳入本类是该类别覆盖范围扩大的关键信号。在 A01 类别详情页中可以看到完整的评分表总出现次数高达 1,839,701 次映射 CVE 32,654 个其典型的 CWE 包括 CWE-200向未授权参与者泄露敏感信息、CWE-201通过发送数据泄露敏感信息、CWE-918SSRF与 CWE-352跨站请求伪造CSRF。A02:2025 – Security Misconfiguration从第 5 位跃升至第 2 位2021 年该类别排第 52025 年升至第 2。3.00% 的被测应用存在本类 16 个 CWE 中的一个或多个。软件工程正在持续扩大由配置决定应用行为的比例配置错误在本周期数据中更为普遍因此排名上升并不意外。类别页评分表显示其总出现次数约 71.9 万次代表性 CWE 包括 CWE-16Configuration与 CWE-611XML 外部实体引用限制不当XXE。A03:2025 – Software Supply Chain Failures由 2021 年 A06 扩展而来本类是 2021 版 A06:2021 - Vulnerable and Outdated Components注2021 版对应页面位于仓库2021/docs/en/的扩展把关注范围扩大到整个软件依赖、构建系统与分发基础设施生态中发生或跨越其中的各类破坏。该类别在社区调查中被压倒性地投票为头号担忧。它仅映射 5 个 CWE在采集数据中出现次数最少但按 A03 类别页说明其平均 Exploit 与 Impact 得分在所有类别中最高——团队认为数据中该类别出现少是因为测试手段尚难覆盖希望测试能力能尽快追上这一领域。A04:2025 – Cryptographic Failures下降两位至第 4从第 2 位降至第 4。数据显示平均3.80% 的应用存在本类 32 个 CWE 中的一个或多个。这类失败常导致敏感数据泄露或系统被攻陷。A05:2025 – Injection下降两位至第 5从第 3 位降至第 5但相对 Cryptographic Failures 与 Insecure Design 的相对位置保持不变。Injection 是测试最充分的类别之一其 38 个 CWE 关联的 CVE 数量最多。它涵盖的问题谱很宽从跨站脚本XSS高频率/低影响到 SQL 注入低频率/高影响。A06:2025 – Insecure Design下降两位至第 6从第 4 位降至第 6被 Security Misconfiguration 与 Software Supply Chain Failures 超越。该类别于 2021 年引入业界在威胁建模与安全设计重视程度上已出现明显改善是排名相对回落的原因之一。A07:2025 – Authentication Failures保持第 7 位并更名排名保持第 7名称由Identification and Authentication Failures微调为Authentication Failures以更准确地反映本类 36 个 CWE 的内涵。该类别依然重要但标准化认证框架的普及似乎对认证失败的发生率产生了正面影响。A08:2025 – Software or Data Integrity Failures保持第 8 位继续位列第 8。本类关注在低于软件供应链失效的层级上未能维护信任边界、未能验证软件、代码与数据制品完整性的问题。A09:2025 – Security Logging and Alerting Failures保持第 9 位并更名保持第 9 位名称由Security Logging and Monitoring Failures微调为Security Logging and Alerting Failures以强调**告警alerting**的重要性——告警是驱动对相关日志事件采取行动的关键。没有告警的优质日志在识别安全事件上价值有限。该类别在数据中始终被低估本次再次由社区调查参与者投票将其保留在榜单中。A10:2025 – Mishandling of Exceptional Conditions全新类别2025 年全新引入的类别包含 24 个 CWE聚焦于不当错误处理、逻辑错误、failing open不安全地失败开放以及其他源于系统异常状态的相关场景。按 A10 类别页的评分表其总出现次数为 769,581 次映射 CVE 3,416 个代表性 CWE 包括 CWE-209生成含敏感信息的错误消息、CWE-234未处理缺失参数、CWE-274对权限不足处理不当、CWE-476空指针解引用与 CWE-636未能安全失败即 Failing Open。方法论数据知情而非盲目数据驱动2025 版榜单以数据为参考但不受数据盲目驱动。团队基于贡献数据对 12 个类别进行排序并允许社区调查的反馈将其中两个类别提升或突出显示。这样做的根本原因在于审视贡献数据本质上是在回望过去。应用安全研究人员需要投入时间发现新漏洞、开发新测试方法再把测试集成进工具与流程往往要数周甚至数年。等到能在规模化测试中可靠地检验某一弱点时可能已经过去数年还有一些重要风险可能永远无法被可靠测试、也永远不会出现在数据中。为平衡这种视角团队通过社区调查向一线应用安全与开发实践者询问哪些风险是你们认为关键、但可能在测试数据中被低估的类别如何结构化从约 30 个 CWE 到 589 个 CWE与 2021 版一样本版在采集数据时对 CWE 不加限制。团队要求贡献者提供某一年份自 2021 年起被测应用的数量以及测试中发现至少一个 CWE 实例的应用数量。这种格式可以追踪每个 CWE 在应用群体中的普遍性prevalence。关键口径说明忽略频率frequency一个应用中出现某个 CWE 四次还是 4,000 次不参与 Top 10 计算。因为人工测试者往往只把同一漏洞列出一次而自动化测试框架会把每个实例都单独列出。CWE 数量逐年激增2017 年约 30 个 CWE2021 年接近 400 个2025 版数据集中需要分析的 CWE 达到589 个。根因优先于症状CWE 既有根因类型如Cryptographic Failure、Misconfiguration也有症状类型如Sensitive Data Exposure、Denial of Service。团队在可能时优先聚焦根因因为这对识别与修复指导更符合逻辑。每类平均约 25 个 CWE下限为 A03 与 A09 各 5 个上限为 A01 的 40 个团队决定将单类 CWE 数量上限设为40。本版 10 个类别共含 248 个 CWE。官方文档同时指出发布时 MITRE 可下载字典中 CWE 总数为 968 个。为什么不用10 个 CWE 的 Top 10团队被问过为什么不采用类似 MITRE Top 25 那种10 个 CWE的榜单有两个主要原因并非所有 CWE 都存在于所有编程语言或框架中。如果部分 Top 10 条目不适用会给工具和培训/意识项目带来问题。常见漏洞往往对应多个 CWE。例如通用 Injection、Command Injection、XSS、硬编码密码、缺少校验、缓冲区溢出、敏感信息明文存储等都有多个 CWE 条目。不同组织或测试者可能使用不同的 CWE。因此用包含多个 CWE 的类别可以在一个共同类别名称下帮助提升基线水平和对不同弱点类型的认知。数据如何用于选榜CVSS 评分与风险公式与 2021 版类似2025 版利用 CVE 数据中的Exploitability可利用性与(Technical) Impact技术影响作为风险方程的另一半。团队下载 OWASP Dependency Check 工具输出提取 CVSS 的 Exploit 与 Impact 分数并按 CVE 关联的 CWE 分组。由于所有 CVE 都有 CVSSv2 评分、而 CVSSv2 存在 CVSSv3 应修正的缺陷加之评分区间与公式在两版之间发生过更新这一过程需要相当多的研究与工作量。CVSSv2 与 CVSSv3 的评分差异在CVSSv2中Exploit 与 (Technical) Impact 理论上均可达到 10.0但公式会把它们分别压到60%Exploit与 40%Impact。在CVSSv3中理论最大值被限制为Exploit 6.0、Impact 4.0。计入权重后Impact 评分在 CVSSv3 中平均上升了约1.5 分而 Exploitability 平均下降约0.5 分。数据规模NVD 中映射到 CWE 的 CVE 记录约17.5 万条2021 版为 12.5 万条由 OWASP Dependency Check 提取。映射到 CVE 的唯一 CWE 有643 个2021 版为 241 个。在近 22 万个被提取的 CVE 中16 万个有 CVSSv2 评分15.6 万个有 CVSSv3 评分6 千个有 CVSSv4 评分许多 CVE 有多个评分故总数超过 22 万。平均分与风险评分公式团队将所有带 CVSS 评分的 CVE 按 CWE 分组并根据拥有 CVSSv3 评分的人口比例以及剩余 CVSSv2 评分人口对 Exploit 与 Impact 分数加权得到整体平均值再映射到数据集中的 CWE 上作为风险方程中 Exploit 与 (Technical) Impact 的取值。风险计算相关的因子结构见下图按 风险说明文档 的记载本版的官方评分公式为(Max Incidence Rate % * 1000) (Max Coverage % * 100) (Avg Exploit * 10) (Avg Impact * 20) (Sum Occurrences / 10000) Risk Score其中各数据因子的含义是CWEs MappedTop 10 团队映射到该类别的 CWE 数量。Incidence Rate发生率某组织在某年度被测应用群体中存在该 CWE 的应用百分比。Weighted Exploit / Weighted Impact来自 CVSSv2 与 CVSSv3 评分中 Exploit / Impact 子分数归一化到 10 分制。(Testing) Coverage测试覆盖率所有组织针对某 CWE 测试的应用百分比覆盖率越高发生率估计越可信样本更能代表整体。Total Occurrences发现映射到该类别的 CWE 的应用总数。Total CVEsNVD 数据库中映射到该类别的 CWE 的 CVE 总数。计算出的风险分数从 Broken Access Control 的621.60到 Memory Management Errors 的271.08不等。官方文档也坦言这不是一个完美的体系但对风险类别排序很有价值。此外随着行业转向微服务等小于传统应用的架构应用的定义日益模糊例如组织在测试代码仓库时如何界定一个应用下一版 Top 10 可能需要对分析与评分方式再做调整。为什么 2025 版不用 CVSS v4.0因为 v4.0 的评分算法发生了根本性变化不再像 CVSSv2/v3 那样容易地提供独立的Exploit或Impact分数。团队计划在未来版本中设法采用 CVSS v4.0但未能在 2025 版发布前找到及时可行的方案。为什么还要使用社区调查数据结果很大程度上局限于行业能够自动化测试的内容。与资深 AppSec 从业者交流他们会告诉你很多尚未进入数据的发现与趋势人们需要时间开发针对某些漏洞类型的测试方法论再花更多时间把测试自动化并在大规模应用群体上运行。因此任何数据发现都是在回望过去可能遗漏最近一年尚未沉淀进数据的趋势。正因如此团队只从数据中选取十个类别中的八个数据不完整另外两个类别来自 Top 10 社区调查——让一线从业者投票选出他们认为风险最高、但可能不在数据中甚至永远不会在数据中体现的类别。数据贡献者与超过 280 万应用样本以下组织连同多位匿名捐赠者为本次发布贡献了超过 280 万个应用的数据使其成为迄今最大、最全面的应用安全数据集官方文档表述Accenture布拉格BugcrowdContrast SecurityCryptoNet LabsIntuitor SoftTech ServicesOrca SecurityProbelySemgrepSonarusd AGVeracodeWallarm以及多位匿名贡献者关于数据收集的具体规范仓库 2025/Data/README.md 记录了完整的分析计划贡献数据需包含贡献者名称、联系邮箱、时间周期2024/2023/2022/2021、被测应用数量、发现应用的 CWE、测试类型TaH/HaT/Tools、主语言、地理区域、行业等字段提交方式支持 CSV/Excel/JSON贡献截止至 2025 年 7 月 31 日数据周期为 2021 至 2024 年。仓库还提供了可直接参考的 CSV 示例 与 JSON 示例。在仓库中继续深挖文档结构、评分表与多语言发布本文所依赖的完整资料都在当前仓库中按以下结构组织类别详情页2025/docs/en/下每个 Axx 文件都按固定模板组织——Background背景、Score table评分表、Description描述、How to prevent如何预防、Example attack scenarios攻击场景示例、References参考、List of Mapped CWEs映射 CWE 清单。每个类别的评分表都给出了 Max/Avg Incidence Rate、Coverage、Weighted Exploit/Impact、Total Occurrences 与 Total CVEs 的精确数值。方法论与上下文文档什么是应用安全风险含风险公式与因子定义、如何建立现代应用安全项目含 SAMM/DSOMM 成熟度评估与落地建议、关于 OWASP版权与许可说明。多语言版本仓库在 2025/mkdocs.yml 中通过 mkdocs-material 的 i18n 插件按文件夹组织多语言文档cs、de、es、fa、it、ja、ko、pt-BR、zh-Hant 等默认语言为英文本文依据的意大利语版引言位于 2025/docs/it/0x00_2025-Introduction.md。发布与历史版本仓库根 README.md 标注了 2025 版当前发布、2021 版已被取代与 2017 版历史归档的发布状态2021/docs/、2017/en/等目录保存了历届文档2021-2003_Comparison/目录还提供了 2003 至 2021 各版本对比文档。配套资源2025/Presentations/提供官方发布会 PPT含 20 周年回顾2025/docs/assets/存放各类别图标、Logo 与映射图2025/Data/存放数据贡献规范与样例。主要作者与致谢2025 版由五位联合负责人共同领导官方文档记载Andrew van der Stock、Brian Glas、Neil Smithline、Tanya Janca、Torsten Gigler。官方文档在结尾对所有贡献数据与观点的参与者表达了特别致谢——正是这些数据与视角让本版发布成为可能。各文档页也保留了提交问题与 Pull Request的渠道指引便于社区持续校正与完善内容。赞分享应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载相关推荐MAA助手完整指南明日方舟自动长草从安装到跑通MAA助手完整指南明日方舟自动长草从安装到跑通 MAA助手MaaAssistantArknights是一款免费的明日方舟自动化工具基于图像识别一键完应用安全OWASP Top 10:2025 官方引言解读十大 Web 应用安全风险的变化、方法论与数据依据OWASP Top 10:2025 官方引言解读十大 Web 应用安全风险的变化、方法论与数据依据 OWASP Top 10 是面向开发人员与 Web 应用安应用安全OWASP Top 10:2025 官方引言深度解读十大 Web 应用安全风险、排名变化与数据驱动方法论OWASP Top 10:2025 官方引言深度解读十大 Web 应用安全风险、排名变化与数据驱动方法论 OWASP Top 10:2025 是 OWASP应用安全上一篇Swift Concurrency单元测试ConcurrencyRecipes测试策略与最佳实践下一篇Pika版本升级指南从v3.3.6到v3.5.2新特性详解创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考