<img src="https://raw.githubusercontent.com/owasp/cornucopia/HEAD/resources/logos/cornucopia_logo.svg?raw=true" width="150"> [](https://owasp.org/projects/) [](https://bestpractices.coreinfrastructure.org/projects/7125) [](https://qlty.sh/gh/OWASP/projects/cornucopia) [](https://qlty.sh/gh/OWASP/projects/cornucopia) # OWASP Cornucopia 项目 OWASP Cornucopia 是一种形式为卡牌游戏的机制，旨在帮助软件开发团队在敏捷、传统及正式开发流程中识别安全需求。它独立于语言、平台和技术。访问：https://cornucopia.owasp.org/ ## Web 应用程序版卡牌中的交叉引用涉及以下 OWASP 及其他外部资源的版本： ### 标准 * [OWASP 人工智能安全验证标准 v1.0 (AISVS)](https://owasp.org/www-project-artificial-intelligence-security-verification-standard-aisvs-docs/) * [OWASP 应用程序安全验证标准 (ASVS) v4 (2019) 和 v5 (2025)](https://owasp.org/www-project-application-security-verification-standard/) * [OWASP 移动应用安全验证标准 (MASVS) v2.1](https://mas.owasp.org/MASVS/) ### 成熟度模型 * [OWASP DSOMM](https://dsomm.owasp.org/mapping) * [OWASP SAMM](https://github.com/owaspsamm/core/tree/develop/model/activities) ### 十大风险： * [OWASP Agentic Top 10](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/) * [OWASP LLM Top 10](https://genai.owasp.org/llm-top-10) * [OWASP Top 10](https://owasp.org/Top10/2025/) * [OWASP Top 10 客户端安全风险](https://owasp.org/www-project-top-10-client-side-security-risks/) ### 指南 * [OWASP Web 应用程序自动化威胁](https://github.com/OWASP/www-project-automated-threats-to-web-applications/tree/master/assets/oats/EN) * [OWASP AI 测试指南](https://owasp.org/www-project-ai-testing-guide/) * [OWASP 移动应用安全测试指南 (MASTG) v1.7](https://mas.owasp.org/MASTG/) ### 其他来源： * [Mitre ATT&CK](https://attack.mitre.org/) * [Mitre Atlas™](https://atlas.mitre.org/) * [Mitre CAPEC™ v3.9](https://capec.mitre.org/data/definitions/2000.html) * [OWASP 开发指南 Web 应用程序清单](https://devguide.owasp.org/en/04-design/02-web-app-checklist/) * [SAFECode 敏捷开发环境中的实用安全故事与安全任务（SAFECode）2012年7月](https://safecode.org/publication/SAFECode_Agile_Dev_Security0712.pdf) * [STRIDE](https://en.wikipedia.org/wiki/STRIDE_model) * [PHANTOM-B](https://shostack.org/blog/why-phantom-b/) ## 贡献开发 ### 大型二进制文件 请安装 git-lfs 以确保您能下载输出文件。 从 https://git-lfs.com/ 安装 然后从 git lfs 中拉取二进制文件。 ```bash git lfs pull ``` ### 使用脚本开发和构建 Cornucopia #### 构建 Cornucopia 卡牌套牌的脚本 请阅读 [README.md](https://github.com/owasp/cornucopia/blob/master/scripts/README.md) #### 附加实用脚本 请阅读 [README.md](https://github.com/owasp/cornucopia/blob/master/scripts/README.md) ### 安全扫描 首次设置： ```bash pip install pre-commit pre-commit install ``` 一个 Bandit pre-commit 钩子会在提交时扫描 Python 脚本的安全问题。它会通过 pre-commit 自动运行（中等严重性，高置信度）。 要手动运行： ```bash pre-commit run bandit --all-files ``` ### 构建和部署 Cornucopia 网站 https://cornucopia.owasp.org 包含每张 Cornucopia 花色的卡牌浏览器，以及每张卡牌的分类法和详细说明。 请阅读 [README.md](https://github.com/owasp/cornucopia/blob/master/cornucopia.owasp.org/README.md) ### 构建和部署 Cornucopia 游戏引擎：Copi Copi (https://copi.owasp.org) 是一个在线游戏引擎，您可以在此玩 Cornucopia 和 Elevation of Privilege。您可以玩所有版本的 Cornucopia（网站和移动版）以及 Elevation of Privileges 游戏。 请阅读 [README.md](https://github.com/owasp/cornucopia/blob/master/copi.owasp.org/README.md) ## 打印 最新的可打印文件已在 [预发布](https://github.com/OWASP/cornucopia/releases/tag/pre-release) 中发布。请从那里下载最终的可打印文件。 docx/pdf 文件可以通过任何桌面打印机轻松打印，但为了最佳质量，请使用 idml InDesign 文件。将文件发送到打印机构时，您可能需要提供用于创建作品的字体。 如果打印机构没有所需字体，您可以在本仓库的 `resources/templates/Fonts` 下找到可安装的字体。它们既是开源的，也可免费用于商业用途。 字体也可以从网上下载。 Fivo Sans: https://www.fontsc.com/font/fivo-sans Atkinson Hyperlegible: https://brailleinstitute.org/freefont 以下字体被使用： - 宣传单：Noto Sans (Light/Regular/Italic/Medium (Italic)/SemiBoldItalic/Extra Bold) - 宣传单：Noto Sans (Thin/Light (Italic)/Italic/Medium//Extra Bold) - 盒子 - Noto Sans Condensed Bold - Noto Sans Condensed Extra Bold - Noto Sans Condensed Medium - Noto Sans ExtraCondensed Extra Bold - Noto Sans ExtraCondensed Extra Medium - 标志： - Noto Sans Condensed Bold - Noto Sans Condensed Extra Bold - Noto Sans Extra Condensed Extra Bold ### 尺寸 #### 卡牌套牌： “bridge” 文件为 (2.25 x 3.5 英寸 或 56mm x 87mm) 标准扑克牌。 “tarot” 文件为 (2.75 x 4.75 英寸 或 70mm x 121 mm) 标准扑克牌。 #### 盒子： “bridge” 盒子为 60 x 89.25 mm x 27.15 mm “tarot” 盒子为 122.2 x 73.1 x 29.1 mm “tarot” 盒子采用 Agile Stationary 打印其网络安全 Cornucopia 版本时使用的标准尺寸。 #### 宣传单： “bridge” 文件为 56mm x 87mm “tarot” 文件为 (2.75 x 4.75 英寸) 根据打印语言，“bridge” 和 “tarot” 版本为 16-20 页的版面。 请注意，除了英文版外，所有语言版本的 InDesign 宣传单目录都需要在打印前进行调整！！ 这是因为 InDesign 不支持自动调整目录。 您可能需要调整字体大小以适应 16 页或 20 页的宣传单版面。 不要打印 18 页的宣传单！效果不会好。 ### 出血： 所有四边均设置为 3mm 的标准出血。 ### 纸张 Bridge 卡牌和 Tarot 卡牌均使用 300gsm 纸张。 对于盒子，我们建议使用折叠纸板箱，带防磨损覆膜，宣传单则使用 100gsm 无涂层纸。宣传单也可以覆膜，但可能会使其变硬。 ## 发布流程 本仓库遵循 [semver](https://semver.org/) 方法。发布新版本意味着在 `master` 分支上打标签。请勿重复使用同一标签。 为了避免常见错误，有一个脚本可以引导您完成流程，并从您的机器上推送正确的标签。 要发布新的补丁版本： ```bash make release ``` ```bash make release-patch ``` 要发布新的次要版本： ```bash make release-minor ``` 要发布新的主要版本： ```bash make release-major ``` ## 致谢 Cornucopia 最初由 Colin Watson 构思和创建，此后得到了全球志愿者团队的贡献。 详情请参阅 [关于 Cornucopia](https://cornucopia.owasp.org/about#Acknowledgements)。 ## 许可证 ### 通用许可条款 © 2025 OWASP Foundation 除非另有说明，本仓库中的内容根据 [CC-BY-SA-4.0](https://github.com/owasp/cornucopia/blob/master/LICENSE.md) 许可证授权 OWASP Cornucopia 转换器和网站就是这方面的示例。 如果您希望在您自己的项目中使用本作品，请链接回我们的[网站](https://cornucopia.owasp.org/about) 并注明 OWASP Cornucopia 的贡献。 对本项目各部分做出贡献的个人通过 OWASP Cornucopia 项目进行鸣谢。 只要您使用我们最新的作品，您可以参考 [CC-BY-SA-4.0](https://github.com/owasp/cornucopia/blob/master/LICENSE.md) 许可证作为指导。 ### Cloudflare Worker 内容安全策略随机数生成器 (nonce-worker.js) MIT 许可证 版权所有 (c) 2020 Move Your Digital, Inc. 请阅读 [README.md](https://github.com/owasp/cornucopia/blob/master/cornucopia.owasp.org/script/README.md) ### 通用攻击模式枚举与分类 (CAPEC™) 使用通用攻击模式枚举与分类 (CAPEC) 以及来自 capec.mitre.org 的相关引用需遵守[使用条款](https://github.com/owasp/cornucopia/blob/master/CAPEC.md)。© 2007–2025, The MITRE Corporation。CAPEC 和 CAPEC 标志是 MITRE Corporation 的商标。 ### Copi - Cornucopia 游戏引擎 Copi - Cornucopia 游戏引擎根据 [GNU AFFERO 通用公共许可证](https://github.com/owasp/cornucopia/blob/master/copi.owasp.org/LICENSE) 授权 ### Elevation of MLSec (MLSec) © 2024 Kantega AS。Elevation of MLSec (MLSec) 的文本根据 [CC-BY-SA-4.0](https://github.com/owasp/cornucopia/blob/master/LICENSE.md) 授权。 Elevation of MLSec 由 Elias Brattli Sørensen 创建（设计：Jorun Kristin Bremseth），工作于 Kantega AS 期间（见： [kantega/elevation-of-mlsec](https://github.com/kantega/elevation-of-mlsec)）。 ### Elevation of Privilege (EoP) © 2010 Microsoft Corporation。Elevation of Privilege (EoP) 的文本根据 [CC-BY-SA-3.0](https://github.com/owasp/cornucopia/blob/master/LICENSE-CC-BY-SA-3.0.md) 授权 EoP 由附属教授 Adam Shostack 创建（见： [adamshostack/eop](https://github.com/adamshostack/eop)） ### 字体许可 关于字体许可，请阅读字体 [README.md](https://github.com/owasp/cornucopia/blob/master/resources/templates/Fonts/README.md) ### OWASP Cornucopia 移动应用版（版本低于 2.0） OWASP Cornucopia 移动应用版的文本和代码映射根据 [CC-BY-SA-3.0](https://github.com/owasp/cornucopia/blob/master/LICENSE-CC-BY-SA-3.0.md) 授权 ### OWASP Cornucopia Web 应用版（版本低于 3.0） OWASP Cornucopia Web 应用版的文本和代码映射根据 [CC-BY-SA-3.0](https://github.com/owasp/cornucopia/blob/master/LICENSE-CC-BY-SA-3.0.md) 授权 ### OWASP Cumulus © 2025 OWASP Foundation。OWASP Cumulus 的文本根据 [CC-BY-SA-4.0](https://github.com/owasp/cornucopia/blob/master/LICENSE.md) 授权。 OWASP Cumulus 由 Christoph Niehoff 创建。更多信息请访问其网站（见： [owasp.org/www-project-cumulus](https://owasp.org/www-project-cumulus/)）。 ### PHANTOM-B 版权所有 ©2026 Shostack + Associates。此为 PHANTOM-B 1.0, Q3 2026。PHANTOM-B 根据 [CC-BY](https://creativecommons.org/licenses/by/4.0/deed.en) 授权 另见： [为什么 PHANTOM-B?](https://shostack.org/blog/why-phantom-b/) ### version-up.sh 版权所有 (C) 2017, Oleksandr Kucherenko, 根据 [MIT](https://opensource.org/license/mit) 授权 ## 我们的威胁模型 见： [SECURITY.md](https://github.com/owasp/cornucopia/blob/master/SECURITY.md#our-threat-models)
