OWASP 测试指南用法
OWASP 测试指南（WSTG）提供 Web 与 API 测试的检查项清单，按编号组织，涵盖认证、授权、注入、业务逻辑等类别。用法上以检查项为骨架，结合业务特点定制补充，逐项给出结论：通过、不适用，或发现问题并关联问题编号。有几个使用要点：必须注明所用版本，不同版本的检查项编号与内容有差异，不标版本就无法追溯；不适用项也要写理由，例如无数据库参数所以注入类检查不适用；不要只写一句其他项通过，那样无法证明真的测过。检查项表的价值是让覆盖面可核对、让交付物结构一致。
基本信息
| 用途 | 以检查项为骨架，结合业务定制补充 |
|---|---|
| 版本要求 | 注明所用版本，不同版本条目有差异 |
| 结论口径 | 通过 / 不适用 / 发现问题（关联编号） |
| 不适用项 | 须写明理由，不能省略 |
| 交付价值 | 覆盖面可核对，结论可追溯 |
典型使用场景
- Web 应用测试：按类别逐项核对覆盖面
- API 测试：结合 API 安全清单补充接口维度检查
- 方案编写：把检查项作为工作量与覆盖范围的依据
- 交付评审：客户按检查项核对是否漏测
- 复测：按检查项逐条回填复测结论
检查项跟踪表
检查项跟踪表
WSTG-ATHN-01 凭据传输：通过
WSTG-ATHZ-02 越权访问：发现问题 F-007
WSTG-INPV-05 注入类检查：不适用（无数据库参数）
# 每项结论都要留档，不适用项写清理由结论口径
| 结论 | 含义 | 记录要求 |
|---|---|---|
| 通过 | 检查项已完成且未发现问题 | 保留测试方法与时间 |
| 不适用 | 该项目场景不适用 | 写明不适用的具体理由 |
| 发现问题 | 存在缺陷 | 关联问题编号与证据编号 |
| 待复测 | 问题已修复待验证 | 注明复测时间与结论 |
检查项表的不适用也要写理由，交付物才算完整；只写其他项通过无法追溯实际测了什么。
检查项不标版本，新旧条目对不上，客户核对时容易产生争议；报告与检查项表要同步交付。