Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 774

OWASP API 安全 Top 10

OWASP API 安全 Top 10 是什么?

OWASP API 安全 Top 10OWASP 发布的意识文档,列出影响 Web API 的最关键安全风险,作为通用 OWASP Top 10 的补充。

OWASP API 安全 Top 10 是社区驱动的列表,聚焦 REST、GraphQL、gRPC 等 Web API 的最关键风险。2023 版关注 Broken Object Level Authorization(BOLA)、Broken Authentication、Broken Object Property Level Authorization、Unrestricted Resource Consumption、Broken Function Level Authorization、敏感业务流的无限访问、SSRF、安全配置错误、库存管理不当以及对外部 API 的不安全消费。它被 API 安全网关、渗透测试范围、开发者培训和监管机构广泛使用,因为这些问题在传统 Web 应用 Top 10 中覆盖不足。

● 示例

  1. 01

    攻击者通过将 /orders/123 改为 /orders/124 利用 API1:2023 BOLA,读取另一客户的订单。

  2. 02

    安全评审把 API 网关的发现映射到 OWASP API Top 10 编号以供管理层汇报。

● 常见问题

OWASP API 安全 Top 10 是什么?

OWASP 发布的意识文档,列出影响 Web API 的最关键安全风险,作为通用 OWASP Top 10 的补充。 它属于网络安全的 合规与框架 分类。

OWASP API 安全 Top 10 是什么意思?

OWASP 发布的意识文档,列出影响 Web API 的最关键安全风险,作为通用 OWASP Top 10 的补充。

OWASP API 安全 Top 10 是如何工作的?

OWASP API 安全 Top 10 是社区驱动的列表,聚焦 REST、GraphQL、gRPC 等 Web API 的最关键风险。2023 版关注 Broken Object Level Authorization(BOLA)、Broken Authentication、Broken Object Property Level Authorization、Unrestricted Resource Consumption、Broken Function Level Authorization、敏感业务流的无限访问、SSRF、安全配置错误、库存管理不当以及对外部 API 的不安全消费。它被 API 安全网关、渗透测试范围、开发者培训和监管机构广泛使用,因为这些问题在传统 Web 应用 Top 10 中覆盖不足。

如何防御 OWASP API 安全 Top 10?

针对 OWASP API 安全 Top 10 的防御通常结合技术控制与运营实践,详见上方完整定义。

OWASP API 安全 Top 10 还有哪些其他名称?

常见的别称包括: OWASP API Top 10。

● 相关术语

● 参见