# 软件安全和应用安全 — 快速参考 2026 年 1 月用于构建安全应用程序的生产级安全模式。涵盖 OWASP Top 10:2025（稳定）加上 OWASP API Security Top 10 (2023) 和安全 SDLC 基线 (NIST SSDF) 。 ** ** ## 何时使用此技能在以下情况下激活该技能： * 实施身份验证或授权系统 * 处理可能导致注入攻击的用户输入（SQL、XSS、命令注入） * 设计安全的 API 或 Web 应用程序 * 使用加密操作或敏感数据存储 * 进行安全审查、威胁建模或漏洞评估 * 响应安全事件或合规审核要求 * 构建必须符合 OWASP、NIST、PCI DSS、GDPR、HIPAA 或 SOC 2 的系统 * 集成第三方依赖（供应链安全审查） * 实施零信任架构或现代云原生安全模式 * 建立或改进安全的SDLC门（威胁建模、SAST/DAST、依赖性扫描） ### 何时不使用此技能 * **一般后端开发**没有安全重点→使用[software-backend]() * **基础设施/云安全**（IAM、网络安全、容器强化）→ 使用 [ops-devops-platform]() * **智能合约审计**作为主要焦点 → 使用 [software-crypto-web3]() * **ML模型安全**（对抗性攻击、数据中毒）→使用[ai-mlops]() * **仅合规问题**，无需实施 → 直接咨询合规团队 ** ** ## 快速参考表安全任务|工具/模式|实施 |何时使用 ---|---|---|--- **主要授权** |密钥/WebAuthn | `navigator.credentials.create()` |新应用程序 (2026+)、防网络钓鱼、广泛的平台支持密码存储| bcrypt/Argon2 | `bcrypt.hash（密码，12）` |旧版身份验证后备（从不存储明文）输入验证 |正则表达式 | 允许列表`/^[a-zA-Z0-9_]{3,20}$/` |所有用户输入（SQL、XSS、命令注入预防） SQL 查询 |参数化查询 | `db.execute(query, [userId])` |所有数据库操作（防止SQL注入） API认证| OAuth 2.1 + PKCE | `oauth.authorize({ code_challenge })` |第三方身份验证、API 访问（弃用隐式流程）令牌认证 | JWT（短暂）| `jwt.sign(payload, Secret, { expiresIn: '15m' })` |无状态 API（始终验证，15-30 分钟到期）数据加密 | AES-256-GCM | `crypto.createCipheriv('aes-256-gcm')` |静态敏感数据（PII、财务、健康） HTTPS/TLS | TLS 1.3 |强制 HTTPS 重定向 |所有生产流量（传输中的数据）访问控制| RBAC/ABAC | `requireRole('管理员', '主持人')` |资源授权（API、管理面板）速率限制 |快递费率限制 | `limiter({ windowMs: 15min, max: 100 })` |公共 API、身份验证端点（DoS 预防）安全要求| OWASP ASVS |选择L1/L2/L3 |安全需求基线+测试范围 ## 身份验证决策矩阵（2026 年 1 月）方法|使用案例|代币生命周期 |安全级别|注释 ---|---|---|---|--- **密钥/WebAuthn** |主要授权 (2026+) |不适用（加密）|最高|防网络钓鱼、广泛的平台支持 OAuth 2.1 + PKCE |第三方认证| 5-15 分钟访问 |高|取代隐式流、强制 PKCE 会话 cookie |传统网络应用程序 | 30 分钟 - 4 小时 |中高| HttpOnly、安全、SameSite=严格 JWT 无状态 | API、微服务 | 15-30 分钟 |中等|始终验证签名，有效期短 API 密钥 |机器对机器 |长寿|低-中 |定期轮换，范围权限 **司法管辖区说明（验证）：** 认证保证要求因国家、行业和买家而异。更喜欢密钥/FIDO2；将 SMS OTP 视为仅恢复/低保证，除非您能证明其合理性。 ## OWASP Top 10:2025 快速清单＃|风险|关键控制|测试 ---|---|---|--- A01 |访问控制被破坏 | RBAC/ABAC、默认拒绝、CORS 白名单 | BOLA、BFLA、权限升级 A02 |安全配置错误|强化默认设置、禁用未使用的功能、错误处理 |默认信用、堆栈跟踪、标头 A03 | **供应链故障**（新）| SBOM、依赖关系扫描、SLSA、代码签名 |过时的部门、错字、受损的软件包 A04 |密码失败 | TLS 1.3、AES-256-GCM、密钥轮换、无 MD5/SHA1 |弱密码、暴露秘密、证书验证 A05 |注射|参数化查询、输入验证、输出编码 | SQLi、XSS、命令注入、LDAP 注入 A06 |不安全的设计|威胁建模、安全设计模式、滥用案例 |设计缺陷、缺失控制、信任边界 A07|身份验证失败 | MFA/密钥、速率限制、安全密码存储 |撞库、暴力破解、会话固定 A08 |诚信失败 |代码签名、CI/CD 管道安全、SRI |未签名更新、管道中毒、CDN 篡改 A09|记录失败 |结构化 JSON、SIEM 集成、相关 ID |缺少日志、日志中的 PII、无警报 A10| **特殊条件**（新）|自动防故障默认设置、完整错误恢复、输入验证 |错误处理差距、故障打开、资源耗尽 ## 决策树：安全实施安全要求：[功能类型] ├─ 用户认证？ │ ├─ 基于会话？ → Cookie 会话 + CSRF 令牌 │ ├─ 基于代币？ → 带有刷新令牌的 JWT (references/authentication-authorization.md) │ └─ 第三方？ → OAuth2/OIDC 集成 │ ├─ 用户输入？ │ ├─ 数据库查询？ → 参数化查询（绝不字符串连接） │ ├─ HTML 输出？ → DOMPurify 清理 + CSP 标头 │ ├─ 文件上传？ → 内容验证、大小限制、病毒扫描 │ └─ API参数？ → 允许列表验证 (references/input-validation.md) │ ├─ 敏感数据？ │ ├─ 密码？ → bcrypt/Argon2（成本系数 12+） │ ├─ PII/财务？ → AES-256-GCM 加密 + 密钥轮换 │ ├─ API 密钥/令牌？ → 环境变量+秘密管理器 │ └─ 运输途中？ → 仅 TLS 1.3 │ ├─ 访问控制？ │ ├─ 简单的角色？ → RBAC（资产/web-application/template-authorization.md） │ ├─ 规则复杂？ → ABAC 与策略引擎 │ └─ 基于关系？ → ReBAC（所有者、合作者、查看者） │ └─ API 安全？ ├─ 公共API？ → 速率限制 + API 密钥 ├─ 需要 CORS 吗？ → 严格的来源许可名单（从不 *） └─ 标题？ → Helmet.js（CSP、HSTS、X 框架选项） ** ** ## 安全投资回报率和商业价值（2026 年 1 月）安全投资合理性和合规性驱动的收入。完整框架：[references/security-business-value.md]() ### 快速突破成本参考指示性数字（来源：IBM 2024 年数据泄露成本；当年刷新）：公制|全球平均 |美国平均 |影响 ---|---|---|--- 平均违规成本| 488 万美元 | 936 万美元 |预算合理性基线每条记录的成本| 165 美元 | 194 美元 |数据分类优先级检测时间| 204 天 | 191 天 | SIEM/监控投资回报率 DevSecOps 采用 | -168 万美元 | -34% |左移对齐投资者关系团队 | -226 万美元 | -46% |最高投资回报率控制 ### 合规 → 企业销售认证|优惠已解锁 |销售影响 ---|---|--- SOC 2 类型 II | 10 万美元以上企业 |通常可以减少安全调查问卷的摩擦 ISO 27001 | ISO 27001 25 万美元以上欧盟企业 |首选供应商状态健康保险流通与责任法案 |医疗保健垂直领域 |市场准入美联储RAMP | 100万美元以上政府|美国政府市场准入 ### 投资回报率公式（快速参考）安全投资回报率=（风险降低-投资）/投资×100 风险降低=违规概率×平均成本×控制有效性示例：15% × 488 万美元 × 46% = 33.7 万美元/年风险降低 ** ** ## 事件响应模式（2026 年 1 月） ### 安全事件手册相|行动 ---|--- **检测** |警报火灾、用户报告、自动扫描 **包含** |隔离受影响的系统，撤销受损的凭据 **调查** |收集日志、确定范围、确定根本原因 **修复** |修补漏洞、轮换机密、更新防御 **恢复** |恢复服务、验证修复、更新监控 **学习** |事后分析、更新剧本、分享经验教训 ### 安全日志要求记录什么 |格式|保留率 ---|---|--- 认证事件 |带有相关 ID 的 JSON |最短 90 天授权失败 |带有用户上下文的 JSON |最短 90 天数据访问（敏感）|带有资源 ID 的 JSON |至少 1 年安全扫描结果 | SARIF 格式 |至少 1 年 **做：** * 包括跨服务的关联 ID * 登录到 SIEM（Splunk、Datadog、ELK） * 屏蔽日志中的 PII **避免：** * 记录密码、令牌或密钥 * 非结构化日志格式 * 缺少时间戳或上下文 ### 常见安全错误失败不良做法 |通过正确方法 |风险 ---|---|--- `query = "SELECT * FROM users WHERE id=" + userId` | `db.execute("SELECT * FROM users WHERE id=?", [userId])` | SQL注入以明文或 MD5 形式存储密码 | `bcrypt.hash(密码, 12)` 或 Argon2 |凭证盗窃不带编码的 `res.send(userInput)` `res.send(DOMPurify.sanitize(userInput))` |跨站脚本攻击源代码中硬编码的 API 密钥 |环境变量+秘密管理器|秘密曝光 `访问控制允许来源：*` |明确来源许可名单 | CORS绕过 JWT 没有过期日期 | `expiresIn: '15m'` \+ 刷新令牌 |代币劫持日志中的通用错误消息 |具有相关 ID 的结构化 JSON |调试盲点短信 OTP 为主要因素 |密钥/WebAuthn 或 TOTP（保留 SMS 仅用于恢复）|凭证网络钓鱼 ** ** ### 可选：人工智能/自动化扩展 > **注意**：人工智能系统的安全考虑。如果不构建 AI 功能，请跳过。 #### LLM 安全模式威胁|缓解措施 ---|--- 及时注射 |输入验证、输出过滤、沙盒执行数据泄露 |输出扫描、PII检测模型盗窃| API速率限制、水印越狱 |宪法人工智能，护栏 #### AI 辅助安全工具工具|使用案例 ---|--- 森格瑞普 |使用 AI 规则进行静态分析斯尼克代码 | AI驱动的漏洞检测 GitHub 代码QL |语义代码分析 ** ** ## .NET/EF Core 加密集成安全有关使用 Entity Framework Core 的 C#/.NET 加密/金融科技服务，请参阅： * [references/dotnet-efcore-crypto-security.md]() — 安全规则和 C# 模式 **关键规则摘要：** * 代码中没有秘密——使用配置/环境变量 * 日志中没有敏感数据（令牌、密钥、PII） * 使用“decimal”表示财务值，切勿使用“double”/“float” * 仅 EF Core 或参数化查询 — 无动态 SQL * 给用户的一般错误消息，服务器端的详细日志记录 ## 导航 ### 核心资源（2024-2026 年更新） #### 安全业务价值和投资回报率 * [references/security-business-value.md]() — 违规成本建模、安全投资回报率公式、合规 → 企业销售、投资理由模板 #### 2025 年更新和现代建筑 * [references/supply-chain-security.md]() - 依赖关系、构建和工件完整性（SLSA、出处、签名） * [references/zero-trust-architecture.md]() — NIST SP 800-207、服务身份、基于策略的访问 * [references/owasp-top-10.md]() — OWASP Top 10:2025（最终）指南 + 2021→2025 差异 * [references/advanced-xss-techniques.md]() — 2024-2025 XSS：突变 XSS、多语言、 SVG 攻击、上下文感知编码 #### API 安全、事件响应和威胁建模 * [references/api-security-patterns.md]() — OWASP API 安全 Top 10、BOLA/BFLA、速率限制、API 密钥、GraphQL/gRPC 安全 * [references/incident-response-playbook.md]() - IR 团队角色、严重性分类、事件类型遏制、证据处理、通信模板、事后分析 * [references/threat-modeling-guide.md]() — STRIDE、PASTA、数据流图、攻击树、风险评分 (CVSS/DREAD)、轻量级敏捷威胁建模 #### 基础安全模式 * [references/secure-design-principles.md]() — 深度防御、最小权限、安全默认值 * [references/authentication-authorization.md]() — AuthN/AuthZ 流程、OAuth 2.1、JWT 最佳实践、RBAC/ABAC * [references/input-validation.md]() — 白名单验证、SQL 注入、XSS、CSRF 预防、文件上传安全 * [references/cryptography-standards.md]() — AES-256-GCM、Argon2、TLS 1.3、密钥管理 * [references/common-vulnerability.md]() — 路径遍历、命令注入、反序列化、SSRF #### 外部参考 * [data/sources.json]() — 70 多个精选安全资源（OWASP 2025、供应链、零信任、API 安全性、合规性） * 共享清单： [../software-clean-code-standard/assets/checklists/secure-code-review-checklist.md](), [../software-clean-code-standard/assets/checklists/backend-api-review-checklist.md]() ### 按域划分的模板 #### Web 应用程序安全 * [assets/web-application/template-authentication.md]() - 安全身份验证流程（JWT、OAuth2、会话、MFA） * [assets/web-application/template-authorization.md]() — RBAC/ABAC/ReBAC 策略模式 #### API 安全 * [assets/api/template-secure-api.md]() — 安全 API 网关、速率限制、CORS、安全标头 #### 云原生安全 * [assets/cloud-native/crypto-security.md]() — 密码学使用、密钥管理、HSM 集成 #### 区块链和 Web3 安全 * [references/smart-contract-security-auditing.md]() — **新**：智能合约审计、漏洞模式、形式验证、Solidity 安全 ### 相关技能 #### 安全生态系统 * [../software-backend/SKILL.md]() — API 实现模式和错误处理 * [../software-architecture-design/SKILL.md]() — 安全系统分解和依赖设计 * [../ops-devops-platform/SKILL.md]() — DevSecOps 管道、机密管理、基础设施强化 * [../software-crypto-web3/SKILL.md]() — 智能合约安全、区块链漏洞、DeFi 模式 * [../qa-testing-strategy/SKILL.md]() — 安全测试、SAST/DAST 集成、渗透测试 #### 人工智能/法学硕士安全 * [../ai-llm/SKILL.md]() — LLM 安全模式，包括提示注入预防 * [../ai-mlops/SKILL.md]() — ML 模型安全性、对抗性攻击、隐私保护 ML #### 质量和弹性 * [../qa-resilience/SKILL.md]() — 弹性、保障措施、故障处理、混沌工程 * [../qa-refactoring/SKILL.md]() — 以安全为中心的重构模式 ** ** ## 趋势认知协议 **重要**：当用户询问有关应用程序安全性的推荐问题时，您必须在回答之前使用 WebSearch 查看当前趋势。如果 WebSearch 不可用，请使用 `data/sources.json` \+ Web 浏览并说明您验证的内容与假设的内容。 ### 触发条件 *“[身份验证/授权]的最佳方法是什么？” *“我应该使用什么来实现[秘密/加密/API 安全]？” *“应用程序安全方面的最新动态是什么？” *“[OWASP/零信任/供应链]当前的最佳实践？” *“2026 年仍建议使用[安全方法]吗？” *“最新的安全漏洞是什么？” *“[用例]的最佳身份验证解决方案？” ### 必填搜索 1. 搜索：`“2026 年应用程序安全最佳实践”` 2.搜索：`“2025 2026 OWASP 前 10 名”` 3.搜索：`“2026年[认证/授权]趋势”` 4.搜索：`“供应链安全2026”` ### 报告内容搜索后，提供： * **当前情况**：现在哪些安全方法是标准的 * **新出现的威胁**：新的漏洞或攻击媒介 * **已弃用/下降**：不再安全的方法 * **建议**：基于最新数据和当前建议 ### 示例主题（使用新搜索验证） * OWASP 前 10 名更新 * 密钥和无密码身份验证 * AI安全问题（提示注入、模型中毒） * 供应链安全（SBOM、依赖性扫描） * 零信任架构实施 * API 安全性（BOLA、身份验证失效） ** ** ## 实施前的安全门在构建任何涉及存储、上传或用户生成内容的功能之前： 1. **首先是威胁模型**：确定攻击者可以利用此功能执行哪些操作（文件上传 → 恶意软件、存储 → 数据泄露、用户内容 → XSS）。 2. **检查 OWASP 映射** ：将功能映射到上述相关 OWASP Top 10 类别。 3. **编码前定义约束**：在写入第一行之前设置文件类型白名单、大小限制、存储隔离和访问控制。 4. **查看现有安全模式**：检查项目是否已有可重用的上传/存储安全实用程序。在没有预先安全约束的情况下构建存储/上传功能会导致成本更高且容易出错的追溯强化。 ## 操作手册 * [references/operational-playbook.md]() — 核心安全原则、OWASP 摘要、身份验证模式和详细代码示例

软件安全应用安全

包含技能