OWASP Top 10 2025 解析：網站最常見的 10 大漏洞
OWASP Top 10 是 OWASP 基金會發布的網站應用程式十大安全風險清單，目前最新的是 2025 年版。第一名仍是存取控制失效，新進榜的是「軟體供應鏈失效」與「異常狀況處理不當」，原本獨立一項的 SSRF 則併入了存取控制。
這份清單常出現在客戶的資安問卷、採購規格與 滲透測試服務 的範圍說明裡。寫給要向客戶交代網站安全的開發主管與技術長：每一項是什麼、在系統裡長什麼樣子、開發時先做哪些防護，最後再談怎麼驗證。
重點整理 – OWASP Top 10:2025 是這份清單的第 8 版，前兩版是 2021 年與 2017 年版。 – 2025 年版分析了 589 個 CWE（通用弱點列舉），最後歸入 10 大類的有 248 個。 – 官方先依測試資料排出 12 個類別，再讓社群問卷推舉 2 項；軟體供應鏈失效在問卷中有一半受訪者投給第一名。 – Top 10 的官方定位是「提升意識的文件」，不是可以拿來驗證通過與否的標準。
OWASP 是什麼？Top 10 又是怎麼排出來的？
OWASP 是致力改善軟體安全的非營利基金會，OWASP Top 10 是它最廣為人知的專案，代表業界對網站應用程式最關鍵安全風險的共識，給開發者與資安人員當作共同語言。
2025 年版的排名方式是「參考資料，但不盲從資料」。官方先依各組織提供的測試資料排出 12 個類別，再保留 2 個名額給社群問卷，讓實務人員把測試工具還抓不到、但確實重要的風險推上來。官方的說法很直白：測試資料等於在看過去，一種新弱點從被發現到能大規模自動檢測，往往要好幾年。
OWASP Top 10 2025 十大項目逐一說明
十大項目由存取控制失效居首，異常狀況處理不當排第 10。每一類都是一組 CWE，不是單一漏洞，下表把每一項換成開發團隊看得懂的例子與第一步防護。
| 項目 | 系統裡常見的樣子 | 開發時先做什麼 |
|---|---|---|
| A01 存取控制失效（Broken Access Control） | 把網址中的訂單編號改一號，就看到別人的訂單；伺服器被誘導去存取內部網址（SSRF） | 每支 API 在伺服器端檢查「這筆資料是不是屬於這個人」，預設拒絕 |
| A02 安全設定錯誤（Security Misconfiguration） | 正式環境開著除錯模式、雲端儲存空間公開、預設帳號沒改 | 用同一份設定範本部署各環境，上線前比對差異 |
| A03 軟體供應鏈失效（Software Supply Chain Failures） | 套件停止維護仍在用、建置流程被植入惡意程式 | 建立元件清單（SBOM），鎖定版本並追蹤弱點公告 |
| A04 加密機制失效（Cryptographic Failures） | 密碼用過時的雜湊演算法、敏感資料以明文傳輸或儲存 | 依資料分級決定加密方式，金鑰不寫在程式碼裡 |
| A05 注入攻擊（Injection） | 搜尋欄位可以下 SQL 指令、留言區可以執行腳本 | 參數化查詢、輸出編碼，不自己拼接查詢字串 |
| A06 不安全設計（Insecure Design） | 重設密碼流程可以無限次嘗試、優惠券可以重複套用 | 需求階段做威脅建模，把濫用情境寫進測試案例 |
| A07 身分驗證失效（Authentication Failures） | 可以撞庫登入、登出後舊連線仍有效 | 導入多因子驗證、限制登入嘗試、正確結束連線 |
| A08 軟體或資料完整性失效（Software or Data Integrity Failures） | 自動更新不驗證簽章、反序列化不可信任的資料 | 驗證更新與套件的簽章，不信任用戶端送來的物件 |
| A09 安全日誌與警示失效（Security Logging and Alerting Failures） | 有記錄但沒人看，被入侵幾個月才發現 | 登入失敗、權限變更等事件要觸發警示並有人處理 |
| A10 異常狀況處理不當（Mishandling of Exceptional Conditions） | 錯誤頁面顯示程式路徑與資料庫資訊、驗證服務逾時就直接放行 | 錯誤時只回簡短訊息，系統出錯時預設拒絕而非放行 |
表中例子是實務上常見的樣態，不是官方完整清單；各類別包含哪些 CWE，以 OWASP 官方頁面為準。
2025 年版和 2021 年版差在哪裡？
2025 年版有 2 個新類別與 1 個合併：軟體供應鏈失效與異常狀況處理不當是新進榜，SSRF 從原本的第 10 名併入存取控制失效。其餘多數項目只是名次變動，或像身分驗證、日誌這兩項改了名稱。
| 2025 年版 | 2021 年版對應 | 變化 |
|---|---|---|
| A01 存取控制失效 | A01 | 維持第 1，併入 SSRF |
| A02 安全設定錯誤 | A05 | 由第 5 升到第 2 |
| A03 軟體供應鏈失效 | A06 易受攻擊與過時的元件 | 範圍擴大到相依套件、建置系統與發布管道 |
| A04 加密機制失效 | A02 | 由第 2 降到第 4 |
| A05 注入攻擊 | A03 | 由第 3 降到第 5 |
| A06 不安全設計 | A04 | 由第 4 降到第 6 |
| A07 身分驗證失效 | A07 | 名稱拿掉「識別」二字 |
| A09 安全日誌與警示失效 | A09 | 由「監控」改為強調「警示」 |
| A10 異常狀況處理不當 | 無 | 新類別，含 24 個 CWE |
安全設定錯誤升到第 2，官方的解釋是軟體行為越來越多由設定決定。日誌那一項改名也有道理：官方直說，只有日誌卻沒有警示，對發現資安事件幾乎沒有價值。
關於 OWASP Top 10 的 3 個常見誤解
第一個誤解是「排名掉了就不重要」。注入攻擊從第 3 降到第 5，卻仍是相關 CVE 數量最多的類別，其中跨站腳本超過 3 萬個、SQL 注入超過 1.4 萬個 CVE。名次反映的是發生比例與社群判斷，不是可以不修的理由。
第二個誤解是「SSRF 被拿掉了」。SSRF 是伺服器替攻擊者存取不該碰的內部資源，現在歸在存取控制底下；舊測試清單要記得把它移到 A01。
第三個誤解是「供應鏈排第 3，代表它常常發生」。剛好相反，軟體供應鏈失效在資料中的出現次數最少，只對應到 5 個 CWE；它排進前 3，是因為社群問卷有一半受訪者投它第一名，而且這類弱點的平均可利用性與衝擊分數最高。
開發團隊防護重點：從需求到上線各做什麼？
防護不能等到上線前才補。A06 不安全設計與 A03 供應鏈都要在需求與架構階段處理，A01、A05、A07 靠程式寫法與框架預設值，A02、A09 則落在部署與維運。依開發階段分工，比依編號逐項檢查更容易落實。
最容易落實的一步，是在需求階段就把「使用者能不能動到別人的資料」寫成驗收條件，開發時用框架內建的權限檢查，不要每支 API 各寫一套。
網站測試中，自動化掃描常漏掉的是存取控制問題：A 帳號可以讀到 B 帳號的資料，掃描工具通常不會示警，因為兩個請求在它看來都是「正常回應」。這類問題要靠測試帳號實際切換角色才找得到。
另一個常見狀況是正式環境的錯誤頁面。實務上，不少系統在測試環境開啟詳細錯誤訊息，上線時忘了關，程式路徑與資料庫欄位名稱直接顯示給訪客，同時踩到 A02 與 A10。
如果是適用資通安全管理法的公務機關或特定非公務機關，資通安全責任等級分級辦法附表十（民國 115 年 1 月 7 日修正）已把部分要求寫成法定控制措施：開發階段應注意避免軟體常見漏洞；發生錯誤時，使用者頁面僅顯示簡短錯誤訊息及代碼；防護需求等級「高」的系統要做源碼掃描，測試階段要做滲透測試，「中」與「普」則做弱點掃描。
如何驗證：掃描與滲透測試怎麼分工？
弱點掃描適合大範圍、定期找出已知弱點與設定問題，滲透測試則由人在授權範圍內驗證弱點能不能被利用、能不能串成攻擊鏈。OWASP Top 10 的十個類別裡，存取控制、不安全設計與業務邏輯相關的問題，主要靠人工測試才找得到。
我們的建議是：每次改版前跑掃描，處理 A02、A03、A05 這類工具擅長的項目；重要系統上線前與重大架構變更後，安排一次人工測試，重點放在 A01、A06、A07。兩者的差異與流程細節，可以參考 滲透測試 的完整說明；只想測網站與 API 的團隊，可以直接看 網站滲透測試 的檢測項目。
攻擊者實際怎麼利用這些弱點，可以對照 駭客攻擊手法 的整理；A07 的第一步防護，則是替後台與管理帳號導入 多因子驗證。
拿到 OWASP Top 10 之後，開發團隊這個月先做什麼？
先挑一個對外服務的系統，用上面的對照表逐項問：哪幾項我們確定有防護、哪幾項不確定、哪幾項沒人負責。不確定的項目通常就集中在 A01 存取控制與 A10 錯誤處理，從這兩項開始補。
如果客戶或稽核要求提供第三方測試報告，或系統即將上線，可以了解我們的 滲透測試服務，測試範圍涵蓋 Web 應用程式的 OWASP Top 10 與 API 的 OWASP API Top 10，修補後也會複測確認；範圍還沒想清楚的話，先請顧問看一下現況。
OWASP Top 10 常見問題
OWASP Top 10 多久更新一次？2026 年有新版嗎？
近三版分別是 2017、2021 與 2025 年版，間隔約 4 年。截至 2026 年 11 月，OWASP 官方專案頁標示目前最新的正式版本仍是 2025 年版；搜尋時看到的「2026」多半是指 AI 代理應用的另一份清單，而不是網站版的 Top 10。
符合 OWASP Top 10 就代表網站安全了嗎？
不代表。OWASP 官方把 Top 10 定位為提升意識的文件，列的是最關鍵的風險類別，不是完整的安全要求清單。業務邏輯漏洞、多個小弱點串成的攻擊鏈，都可能不在任何一項的字面範圍裡。把 Top 10 當成最低門檻，再依系統重要程度決定是否做人工測試，比較實際。
OWASP 有 API 版嗎？
有。OWASP API Security Top 10 目前是 2023 年版，第一名是物件層級授權失效（Broken Object Level Authorization），也就是透過 API 修改物件編號就能存取別人的資料。系統若以 App 加 API 為主，API 版比網站版更貼近實際風險，兩份可以搭配使用。
OWASP Top 10 for LLM 和 Agentic Applications 是什麼？
這是 OWASP 生成式 AI 安全專案的兩份清單，和網站版是不同文件。LLM 版目前是 2025 年版，於 2024 年 11 月發布，第一名是提示注入；Agentic Applications for 2026 於 2025 年 12 月發布，處理會自行規劃與執行任務的 AI 代理風險。系統串接大型語言模型時，三份清單都值得對照。
參考資料
- OWASP Top 10:2025 – 十大類別、各類別說明與防護建議。OWASP Foundation · 2025 年版
- OWASP Top 10:2025 Introduction – 版本變動、排名方法與 CWE 統計。OWASP Foundation
- OWASP Top 10 API Security Risks – 2023 – API 版十大風險。OWASP Foundation · 2023 年版
- OWASP Top 10 for Agentic Applications for 2026 – AI 代理應用十大風險。OWASP GenAI Security Project · 2025 年 12 月 9 日
- 資通安全責任等級分級辦法 – 附表十資通系統防護基準，系統發展生命週期各階段要求。全國法規資料庫 · 民國 115 年 1 月 7 日修正
