Getting Started with API Security Best Practices

2023 版 OWASP API Security Top 10 出炉：BOLA、失效身份验证仍居前二，新增服务端请求伪造（SSRF）、不受限资源消耗、不安全 API 消费等类别，多位业内人士解读 API 攻击面易利用性升高的趋势。

SaaS 提供商面临 API 与多租户架构威胁上升；贯穿 SDLC、对齐 OWASP 与 PTES 的定期渗透测试可降低泄露风险，并支撑 SOC 2、ISO 27001、GDPR 与 HIPAA 合规。

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。

整理与 Checkmarx CTO Maty Siman 的播客对话：在开源与 API 泛滥、软件“乐高化”的当下，如何把握 shift left 的度并成熟 AppSec 体系。

解读 OWASP Top 10 候选榜单新增的 A7「攻击防护不足」：应用不仅要校验输入，还应具备检测、阻断、记录并响应自动化攻击的能力，文中给出限速、CAPTCHA、WAF 与 AppSensor 等防护建议。

OpenSAMM 是 OWASP 推出的免费软件保障成熟度框架，将应用安全划分为治理、构建、验证、部署四大业务功能，借助结构化访谈，企业可在一小时内完成单个应用的成熟度评估。