OWASP Top 10 是一份廣受引用的清單，列出最重要的 Web 應用程式安全風險類別，由開放全球應用程式安全計畫（Open Worldwide Application Security Project）發布。大型企業用它來規劃安全開發計畫，但對於經營客戶入口網站、網路商店或 SaaS 產品的中小企業而言，它同樣實用。本指南將各個類別轉化為中小企業可以向自身應用程式與供應商提出的淺白問題。
服務簡介
Top 10 是一份意識提升文件，協助團隊聚焦最常見的 Web 應用程式風險。每個類別歸納了一組相關弱點。目前的 2025 版取代了 2021 版清單，涵蓋：存取控制失效（現在也包括伺服器端請求偽造）；安全設定錯誤；軟體供應鏈失效；加密機制失效；注入；不安全的設計；身分驗證失效；軟體或資料完整性失效；日誌記錄與警示失效；以及對例外狀況的處理不當。許多問卷與合約仍引用 2021 版，因此在設定要求時，請確認客戶或合作夥伴期望採用哪個版本。對中小企業而言，其價值不在於背誦清單，而在於將它當作一份問題清單來使用：誰能看到什麼、密碼與工作階段如何處理、哪些元件已經過時，以及攻擊正在進行時是否有人會察覺。
適用對象
本清單適用於：
- 經營面向客戶的 Web 應用程式、入口網站或網路商店的中小企業
- 委託代理商或自由工作者進行開發、需要提出有根據問題的創辦人與管理者
- 沒有專職資安職位的小型內部團隊
- 正在準備回覆引用 OWASP 之客戶安全問卷的企業
有助釐清的問題
逐一檢視各個類別，有助於釐清：
- 使用者是否只能查看與修改其角色允許的資料
- 哪些第三方函式庫、外掛與框架已經過時或無人維護
- 設定、機密資訊與錯誤訊息是否暴露了不應暴露的內容
- 日誌記錄能否讓您察覺並調查可疑活動
包含內容
- 存取控制：測試使用者無法透過變更 URL 或請求中的 ID 來查看或編輯其他客戶的紀錄，並限制應用程式可被誘導呼叫的內部或外部位址
- 加密：確認全站使用 HTTPS 與現代 TLS，且密碼以強雜湊演算法儲存
- 注入：檢查輸入是否經過驗證，資料庫查詢是否已參數化
- 設計：記錄密碼重設、付款與退款等敏感流程應如何運作，包括濫用情境
- 設定錯誤：移除預設帳號、停用除錯輸出，並審查安全標頭
- 供應鏈：維護函式庫、外掛與建置工具的清單，依既定排程安裝修補程式，並移除無人維護的元件
- 身分驗證：為管理員提供多重要素驗證，並限制重複登入嘗試
- 完整性：保護建置與部署管線，並驗證更新來自可信來源
- 日誌記錄與警示：記錄登入、權限變更與管理操作，並確保警示能送達負責審查的人員
- 例外狀況：確保錯誤、逾時與非預期輸入能安全地失敗，不暴露堆疊追蹤，也不略過安全檢查
不包含內容
- 宣稱處理好 Top 10 就能使應用程式安全；它是邁向更全面涵蓋的實用起點
- 認證或正式合規核准
- 逐步的漏洞利用技術
- 涵蓋 Web 應用程式以外的風險，例如內部網路或實體安全
適用時機
在規劃新功能、導入開發供應商，以及上線或重大版本發布之前，使用本清單。如果多個問題的答案都是「我們不知道」，就表示應委託進行獨立審查，而不是依賴假設。如果客戶或合作夥伴要求提供符合 OWASP 的測試證據，有書面紀錄的應用程式安全審查或滲透測試通常比自我評估更具說服力。
我們的方法
從存取控制與身分驗證著手，因為業務應用程式中的嚴重問題常出現在這兩處。請開發人員或供應商逐一說明每個角色在伺服器端是如何強制執行的，而不只是在介面中隱藏。接著盤點元件並約定更新流程。確保機密資訊不存放在程式碼儲存庫中，錯誤頁面不洩露堆疊追蹤。如需獨立觀點，我們的 Application Security Review 會針對常見應用程式風險（包括 OWASP 各類別）檢查約定的 Web 應用程式與 API，並提供依嚴重程度分級的發現項目及修復建議。如果您主要關注的是以 CMS 架設的網站，網站強化可能是更相稱的一步。無論選擇哪種方式，請將清單納入發布流程，讓每次變更都對照清單加以考量，而不是將資安視為上線前的一次性工作。
常見問題
相關文章
立即開始
希望取得對 Web 應用程式的獨立評估？
請告訴我們應用程式的情況、使用者角色，以及即將進行的上線或客戶要求。我們將提出範圍明確的審查方案。
申請書面範圍說明