为什么即使您不懂技术，也应该关心应用的安全
任何连接互联网的应用或网站都是潜在的攻击目标——不一定是因为它很重要，而是因为自动化攻击会在整个网络上扫描，寻找任何漏洞。一次数据泄露就可能意味着客户数据外泄、服务瘫痪或被监管机构罚款。好消息是：大多数泄露事件利用的都是有限的一组已知错误，全球性基金会 OWASP 已将其整理成“Web 应用十大安全风险（Top 10）”清单。
您不必是程序员也能理解这份清单；只要了解它，就足以向您的团队或供应商提出正确的问题。
OWASP Top 10 简介
- 访问控制失效：用户访问到了不该访问的内容（他人的数据或管理后台）。这是最常见、也最危险的风险。
- 加密机制失效：在没有适当加密的情况下存储或传输敏感数据。
- 注入：恶意输入诱使系统执行非预期的命令（例如 SQL 注入）。
- 不安全的设计：系统设计本身存在缺陷，而不仅仅是代码问题。
- 安全配置错误：默认设置、开放的权限或泄露过多信息的错误提示。
- 易受攻击和过时的组件：使用存在已知漏洞的库或插件。
- 身份识别与认证失效：弱密码、缺少双因素认证或脆弱的会话管理。
- 软件和数据完整性失效：在未验证完整性的情况下信任更新或来源。
- 安全日志与监控失效：无法发现攻击，就意味着太晚才发现数据泄露。
- 服务器端请求伪造（SSRF）：诱骗服务器向其不应访问的内部系统发送请求。
安全不是最后才添加的功能——而是从第一行代码起就打下的基础。
在实践中如何保护您的应用？
- 最小权限：只给每个用户和组件分配其所需的最低访问权限。
- 验证每一项输入：永远不要信任来自用户的数据，并在服务器端而不仅是在浏览器中进行验证。
- 持续更新：安全更新一经发布，就立即为库和系统打补丁。
- 启用 2FA 和加密：对传输中和静态存储的数据都进行保护。
- 监控与记录：留意可疑活动，并保留有助于及早发现问题的日志。
- 进行安全测试：在上线前后定期进行扫描和渗透测试。
Origami 如何提供帮助
在 Origami，我们从一开始就将安全融入产品，而不是事后补救：代码审查、漏洞扫描、精确的访问控制、加密以及定期更新。我们的目标是让您的应用从设计上就是安全的，让您对客户数据和自身声誉都能放心。
官方来源：OWASP 项目——Web 应用十大安全风险（Top 10）（owasp.org）。
常见问题
什么是 OWASP？
一个专注于软件安全的全球性非营利基金会，其“Top 10”清单是全球公认的关于 Web 应用最关键风险的参考标准。
我的小网站真的有被黑客攻击的风险吗？
是的；大多数攻击都是自动化且随机的，无论网站规模大小，都会扫描任何漏洞——不存在“小到不会被盯上”这回事。
最应该先采取的安全措施是什么？
访问控制（谁可以访问什么）和定期的安全更新；两者结合可覆盖很大一部分常见风险。
我需要渗透测试吗？
对于处理敏感数据或支付的系统，需要——定期扫描和渗透测试能在攻击者发现漏洞之前将其暴露出来。
