OWASP 应用程序安全验证标准

本作品采用 知识共享署名-相同方式共享 4.0 国际许可协议进行许可。

🎉🎉🎉 欢迎使用 ASVS 5.0 版本！ 🎉🎉🎉

在 Global AppSec EU Barcelona 2025 现场舞台上正式发布！

简介

OWASP 应用程序安全验证标准（ASVS）项目的主要目标是为各类 Web 应用程序和 Web 服务提供一个开放的应用安全标准。

ASVS 最初于 2008 年通过全球社区协作启动，定义了一套全面的安全需求，用于设计、开发和测试现代 Web 应用程序和服务。

继 2019 年发布 ASVS 4.0 及 2021 年的小版本更新（v4.0.3）之后，5.0 版本代表了一个重要的里程碑——经过现代化改造，以反映软件安全领域的最新进展。

我们衷心感谢那些通过投入大量时间或提供资金支持本项目的组织，详情请见我们的“支持者”页面！

如果您发现任何错误或有任何想法，请提交问题。我们可能会根据问题中的讨论，随后请您提交拉取请求。我们也在积极寻找5.n 分支的翻译。

项目负责人和工作组

本项目由三位项目负责人领导：Daniel Cuthbert、Josh Grossman 和 Elar Lang。

他们由 ASVS 工作组提供支持，工作组成员包括：Shanni Prutchi、Ralph Andalis、Meghan Jacquot、Iman Sharafaldin、Ryan Armstrong、Gabriel Corona、Tobias Ahnoff 和 Eden Yardeni。

最新稳定版本 - 5.0.0

最新稳定版本为 5.0.0 版（日期为 2025 年 5 月），可通过以下链接获取：

• OWASP 应用程序安全验证标准 5.0.0 英文版（PDF）
• OWASP 应用程序安全验证标准 5.0.0 英文版（Word）
• OWASP 应用程序安全验证标准 5.0.0 英文版（CSV）
• OWASP 应用程序安全验证标准 5.0.0（GitHub 分支）

本仓库的 master 分支将始终是“最前沿版本”，可能包含进行中的更改或其他未完成的编辑。下一个发布目标将是补丁版本 5.0.1。有关 ASVS 发布策略的详细信息，请参阅 CONTRIBUTING.md 的发布策略部分。

翻译

OWASP 社区在翻译方面的工作属于尽力而为。虽然我们尽最大努力确保内容在结构上的有效性，但在确保翻译正确性方面，我们能做的有限。我们依赖您——社区——帮助使 ASVS 尽可能地为全球所有人所用，将主分支翻译成您的语言对本项目非常重要。

如果您认为自己可以帮助翻译，或者帮助确保以下现有翻译列表的正确性，我们非常希望您加入社区，让 ASVS 为所有人带来卓越体验。有关翻译 ASVS 的更多信息，请参阅 CONTRIBUTING.md 的翻译部分。

当前可用的翻译：

• OWASP 应用程序安全验证标准 5.0.0 土耳其语版（PDF）及其他格式。（感谢 Ata Seren）
• OWASP 应用程序安全验证标准 5.0.0 俄语版（PDF）及其他格式。（感谢 Khalina Daria、Shnayder Eugenia、Smirnov Vyacheslav、Mukovkin Dmitry、Nadezhda、Fomin Danil、Sluzhevsky Anton、Zolotarev Maxim、Gorky Kirill、Nosenko Aleksei）
• OWASP 应用程序安全验证标准 5.0.0 法语版（PDF）及其他格式。（感谢 Cédric Lallier、Alexandre Joly、Michael Vacarella、Sebastien Gioria 和 Gabriel Corona）
• OWASP 应用程序安全验证标准 5.0.0 韩语版（PDF）及其他格式。（感谢 박우현(Park WooHyun)、김용환(Kim YongHwan)、조예진(Jo YeJin)、이본영(Lee BonYeong)、박재욱(Park JaeWook)、박준범(Park JunBeom)、차원제(Cha WonJe)、신승민(Shin SeungMin)、이준서(Lee JunSeo)、박민균(Park MinGyun)、윤현정(Youn HyunJung)、이지훈(Lee JiHun)、김어진(Kim EoJin)、오모세(O Moses)、정수진(Jeong SooJin)、이하린(Lee HaRin)、양 진(Yang Jin) 和 정민석(Jung MinSuk)）
• OWASP 应用程序安全验证标准 5.0.0 巴西葡萄牙语版（PDF）及其他格式。（感谢 Victor Hugo Nogueira Lima）
• OWASP 应用程序安全验证标准 5.0.0 印尼语版（PDF）及其他格式。（感谢 Nur Muhammad Wafa）
• OWASP 应用程序安全验证标准 5.0.0 阿拉伯语版（PDF）及其他格式。（感谢 khalidwalamri）
• OWASP 应用程序安全验证标准 5.0.0 简体中文版（PDF）及其他格式。（感谢 d2ogg）
• OWASP 应用程序安全验证标准 5.0.0 波兰语版（PDF）及其他格式。（感谢 Piotr Kleszcz）

v4.x 版本的历史翻译可在 4.0 文件夹中的 TRANSLATIONS.md 文件中找到。

如何引用 ASVS 需求

每个需求都有一个格式为 <chapter>.<section>.<requirement> 的标识符，其中每个元素都是一个数字。例如，1.11.3。

• <chapter> 值对应需求所属的章节；例如，所有 1.#.# 需求都来自“编码与净化”章节。
• <section> 值对应需求在该章节中所属的小节，例如：所有 1.2.# 需求都位于“编码与净化”章节的“注入防护”小节中。
• <requirement> 值标识该章节和小节中的具体需求，例如 1.2.5，在本标准 5.0.0 版本中为：

验证应用程序能够防御操作系统命令注入，并且操作系统调用使用参数化的操作系统查询或使用上下文相关的命令行输出编码。

由于标识符可能在不同版本的标准之间发生变化，其他文档、报告或工具最好使用以下格式：v<version>-<chapter>.<section>.<requirement>，其中：'version' 是 ASVS 版本标签。例如：v5.0.0-1.2.5 将被理解为特指 5.0.0 版本中“编码与净化”章节“注入防护”小节的第 5 个需求。（这可以概括为 v<version>-<requirement_identifier>。）

注意：格式中版本号前面的 v 应始终为小写。

如果使用标识符时未包含 v<version> 元素，则应假定它们指的是最新的应用程序安全验证标准内容。随着标准的发展和变化，这会带来问题，因此作者或开发者应包含版本元素。

许可证

整个项目内容均采用 知识共享署名-相同方式共享 v4.0 许可协议。