参考资料与来源

OWASP 来源

内置 OWASP 专项的知识从何而来，并对应到 OWASP 官方的攻击页面和 Cheat Sheet 页面。

本文档把 OWASP 的每个攻击（www-community）和每份 Cheat Sheet（CheatSheetSeries）对应到一个安全类别，并分别链接到它们的官方公开页面。在同一个类别中，等价的条目共用一行清单：针对同一风险的攻击和 Cheat Sheet 列在一起，用逗号分隔。没有直接对应项的条目单独占一行。

  • 内容归功于 OWASP。攻击页面位于 https://owasp.org/www-community/attacks/<attack>，Cheat Sheet 位于 https://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html。

1. 注入（通用）​

2. SQL / 数据库注入​

3. 操作系统 / 命令注入​

4. LDAP / XPath / XML 注入​

5. 跨站脚本（XSS）​

6. 跨站请求伪造（CSRF）与点击劫持​

7. 重定向与转发​

8. 访问控制与授权​

9. 认证与凭证​

10. 会话管理​

11. 联合登录（OAuth / SAML / JWT）​

12. 密码学与传输安全​

13. 服务端请求伪造（SSRF）​

14. 路径遍历与文件处理​

15. HTTP 协议滥用（标头、缓存、拆分）​

16. 编码与内容欺骗​

17. CSV / 电子表格注入​

18. CORS（跨源资源共享）​

19. 拒绝服务​

20. 内存安全与原生代码​

21. 移动代码与不可信代码的执行​

22. 反序列化​

23. 恶意软件与客户端威胁​

24. 日志、抵赖与错误处理​

25. 业务逻辑与功能滥用​

业务逻辑和功能滥用没有单一的代码攻击面可供按攻击面划分的专项来防御：防御靠的是针对具体应用的设计，也就是项目威胁建模所推动的那种思考。已移至"不在范围内"。

26. AI / LLM / 智能体安全​

27. 原型链污染与跨站泄露​

28. 框架与语言平台​

29. Web 前端与浏览器​

30. API 与服务​

31. 云、容器与基础设施​

容器和工作负载的配置属于配置即代码，由开发者随应用一起发布（Dockerfile、Compose、Pod 的 securityContext），是 harden 能修复、verify 能证明的真实攻击面，因此在范围内。集群管理（RBAC、etcd、API server、准入控制、网络分段）属于运维人员的职责，仍不在范围内。

32. 供应链与 CI/CD​

33. 密钥与配置​

密钥管理属于运维范畴：密钥保管库、CI/CD、云配置、轮换。唯一涉及代码的部分（源码中硬编码的密钥）由确定性扫描负责，而不是风险专项。已移至"不在范围内"。

34. 流程、设计与治理​

用户隐私保护属于策略和设计问题（数据最小化、透明度、保留期限），不是专项能够防御的代码攻击面。已移至"不在范围内"。

35. 支付与合规​

36. 嵌入式 / IoT / 专门领域​

汽车安全和无人机安全属于嵌入式系统领域（CAN 总线、OTA 固件、传感器和无线电的完整性、物理访问），而不是 Lagune 审计的 Web / API 应用源码。已移至"不在范围内"。

不在范围内（没有代码攻击面）​

这些条目不属于专项的领域，也没有复选框：它们属于治理、流程、运维层面的加固或框架用法，没有单一的代码攻击面可供按攻击面划分的专项来防御。它们的安全价值是真实的，但体现在流程和架构中（对于框架，则体现在该语言自己的 skill 中），而不在这个目录提供的防御里。列在这里仅供参考，不是待办工作。