OWASP:十大 Web 应用安全风险

API 用量激增而安全投入滞后：2023 版 OWASP API Security Top 10 中 BOLA 与失效身份验证仍居前列；作者强调 API 应作为独立对象测试，自动化扫描覆盖不足时需人工渗透测试补位。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

XPath 注入实战剖析：当应用拼接 XML 查询且未校验输入时，攻击者可借助特殊字符探测语法错误，实现认证绕过、敏感数据窃取与业务逻辑干扰，文章提供可复现的靶场环境与 Burp Suite 检测手法。

解读 OWASP Top 10 候选榜单新增的 A7「攻击防护不足」：应用不仅要校验输入，还应具备检测、阻断、记录并响应自动化攻击的能力，文中给出限速、CAPTCHA、WAF 与 AppSensor 等防护建议。

OpenSAMM 是 OWASP 推出的免费软件保障成熟度框架，将应用安全划分为治理、构建、验证、部署四大业务功能，借助结构化访谈，企业可在一小时内完成单个应用的成熟度评估。

NetSPI 讲解 CSRF 原理与利用面（图片标签、钓鱼链接、XSS 注入等向量均可发起请求），并给出用 Burp Proxy 对带 CSRF 防护的应用做参数模糊测试的实操步骤，指出 token 防护难以做到百分百，测试时需同步维护会话与 token 值。