OWASP Top 10 2025 on ChenOvo

TOP1-Broken Access Control（访问控制失效）

Wed, 17 Jun 2026 12:21:29 +0800

在 OWASP Top 10:2025 里，Broken Access Control（访问控制失效） 仍然排在 A01，也就是第 1 位。它的意思很直接：系统没有正确限制“谁能访问什么、谁能执行什么操作”，结果就是用户能看到、修改、删除本不属于自己的数据，甚至越权拿到管理员能力。OWASP 给出的 2025 数据里，这一类问题覆盖了 100% 被测试应用，而且总出现次数非常高，说明它不是“高级漏洞”，而是最常见、最容易被遗漏的基础性问题。
来源：OWASP A01:2025 Broken Access Control

TOP10-Mishandling of Exceptional Conditions（处理异常情况不当）

Wed, 20 May 2026 12:33:47 +0800

在 OWASP Top 10:2025 里，Mishandling of Exceptional Conditions 排在 A10，也就是第 10 位。这是 2025 新增的类别，它聚焦的是“异常条件处理不当”：系统在遇到缺参、空指针、权限不足、网络中断、资源耗尽、状态异常、事务中断、未预期输入时，没有正确地预防、识别和处理这些异常，最终进入不可预测状态，甚至直接 fail-open（失败时放行）。
来源：OWASP Top 10:2025 Introduction
来源：A10:2025 Mishandling of Exceptional Conditions

TOP7-Authentication Failures（身份验证失败）

Wed, 20 May 2026 12:33:47 +0800

在 OWASP Top 10:2025 里，Authentication Failures 排在 A07，也就是第 7 位。它和 2021 一样保持在第 7 位，只是名字从 “Identification and Authentication Failures” 略微调整为更直接的 “Authentication Failures”。它关注的是：系统把不该被当成合法用户的人，当成了合法身份，或者让攻击者过于容易地猜解、复用、接管、绕过身份认证。
来源：OWASP Top 10:2025 Introduction
来源：A07:2025 Authentication Failures

TOP8-Software or Data Integrity Failures（软件或数据完整性故障）

Wed, 20 May 2026 12:33:47 +0800

在 OWASP Top 10:2025 里，Software or Data Integrity Failures 排在 A08，也就是第 8 位。它延续了 2021 的排名，只是名字做了轻微澄清。这个类别关注的是：系统没有验证软件、代码、更新包或数据对象的完整性，就直接把它们当成可信内容使用了。
来源：OWASP Top 10:2025 Introduction
来源：A08:2025 Software or Data Integrity Failures

TOP9-Security Logging and Alerting Failures（安全日志记录和警报故障）

Wed, 20 May 2026 12:33:47 +0800

在 OWASP Top 10:2025 里，Security Logging and Alerting Failures 排在 A09，也就是第 9 位。它延续了 2021 的位置，但名字从 “Logging and Monitoring Failures” 调整成了更强调行动性的 “Logging and Alerting Failures”。OWASP 的意思很明确：光有日志不够，日志如果不能触发正确告警和响应，价值是很有限的。
来源：OWASP Top 10:2025 Introduction
来源：A09:2025 Security Logging and Alerting Failures

TOP3-Software Supply Chain FailuresO（软件供应链故障）

Wed, 20 May 2026 12:33:46 +0800

在 OWASP Top 10:2025 里，Software Supply Chain Failures 排在 A03，也就是第 3 位。它可以理解成“软件供应链失效”：风险不再只是“依赖里有漏洞”，而是从依赖、构建、仓库、IDE、CI/CD、制品、更新发布到生产部署的整条链路，只要有一个环节被投毒、失管、篡改或长期裸奔，最后都会变成你的应用风险。OWASP 在 2025 版里明确把它从 2021 年的 “Vulnerable and Outdated Components” 扩展成了更大的风险类别，说明现代软件最危险的地方之一，已经不是你自己写的业务代码，而是你信任的那整条开发与交付链。
来源：OWASP Top 10:2025 Introduction
来源：A03:2025 Software Supply Chain Failures

TOP4-Cryptographic Failures（密码学故障）

Wed, 20 May 2026 12:33:46 +0800

在 OWASP Top 10:2025 里，Cryptographic Failures 排在 A04，也就是第 4 位。它从 2021 年的第 2 位下降到了第 4 位，但这不代表它不重要，而是说明其它系统性风险上升得更快。它关注的不是单纯“有没有加密”，而是更完整的一组问题：没加密、加密不够强、密钥管理差、随机数弱、证书校验错、模式用错、散列算法过时，都会落在这个类别里。
来源：OWASP Top 10:2025 Introduction
来源：A04:2025 Cryptographic Failures

TOP5-Injection（注入）

Wed, 20 May 2026 12:33:46 +0800

在 OWASP Top 10:2025 里，Injection 排在 A05，也就是第 5 位。它从 2021 年的第 3 位下降到了第 5 位，但依然是最经典、最常见、也最容易造成高危后果的一类漏洞。它的核心很简单：不可信输入进入了解释器，并被当成命令、语句或结构的一部分执行了。
来源：OWASP Top 10:2025 Introduction
来源：A05:2025 Injection

TOP6-Insecure Design（不安全设计）

Wed, 20 May 2026 12:33:46 +0800

在 OWASP Top 10:2025 里，Insecure Design 排在 A06，也就是第 6 位。它从 2021 年的第 4 位降到了第 6 位，但这并不代表它不关键。相反，OWASP 把它保留在榜单里，就是因为很多严重安全问题并不是“代码写错了”，而是从需求、流程、权限模型、业务状态机、租户隔离到失败状态设计，一开始就没有把安全控制设计进去。
来源：OWASP Top 10:2025 Introduction
来源：A06:2025 Insecure Design

OWASP Top 10 2025 总览与分析

Wed, 20 May 2026 12:28:39 +0800

OWASP Top 10 2025 总览与分析

这份笔记适合怎么用

如果你是开发者：先看“怎么理解这份榜单”，再看每一项的“开发/排查重点”。
如果你是安全测试人员：重点看每一项的“常见表现”和“检查点”。
如果你是做安全治理：重点看“2025 版变化”和“落地建议”。

一、OWASP Top 10 2025 是什么

OWASP Top 10 是面向 Web 应用安全风险的高优先级清单。
2025 版是第 8 次发布，官方说明它依旧是“数据驱动，但不盲从数据”的榜单：一部分来自大规模测试数据，一部分来自社区调查，用来补足那些“现实里很重要、但不容易被自动化工具统计出来”的风险。

TOP2-Security Misconfiguration (安全配置错误)

Mon, 27 Apr 2026 16:32:19 +0800

Security Misconfiguration 可以翻成“安全配置错误”或“安全配置不当”。它不是某一个单点漏洞，而是一类问题：系统、应用、框架、云服务、数据库、Web 服务器、中间件明明能配得更安全，但实际部署时配错了、漏配了、保留了默认值，结果给攻击者留下入口。