OWASP Top 10 是由 Open Worldwide Application Security Project 发布、由社区驱动并定期更新的清单，列出 Web 应用面临的最关键安全风险。它是业界讨论应用风险时共同的参照，但它是一份提高安全意识的文档，而不是测试检查清单。
Top 10 帮助人们认识最常见、对 Web 应用影响最严重的风险类别，让团队与利益相关方使用同一套术语。它在设计上就既不是一份完整标准，也不是一份测试计划：要做到系统性覆盖，您应使用 OWASP Web Security Testing Guide（WSTG）获取测试用例，并使用 OWASP Application Security Verification Standard（ASVS）获取控制项级别的要求。Top 10 用来界定风险，WSTG 与 ASVS 决定实际的测试。
现行版本是 OWASP Top 10 2025。如果您仍看到引用 2021 版的内容，那已经过时。2025 版各类别为：A01 失效的访问控制、A02 安全配置错误、A03 软件供应链失效、A04 加密失误、A05 注入、A06 不安全的设计、A07 认证失效、A08 软件或数据完整性失效、A09 安全日志与告警失效，以及 A10 异常情形处理不当。
失效的访问控制仍居榜首。它一直是最普遍的严重 Web 风险，这也是经认证的多角色测试如此重要的原因。其他值得关注的变化包括：安全配置错误升至 A02；新增的软件供应链失效类别（A03）拓宽了原先的「易受攻击组件」主题；全新的 A10 则涵盖异常情形处理不当。这些类别会随着真实数据与威胁的变化而调整。
在 Web 评估中，Top 10 通常用于归类和沟通发现，把每个问题对应到领导层熟悉的风险类别。测试深度则来自 WSTG 测试用例以及对照 ASVS 的验证。此外，还有面向 API 的 OWASP API Security Top 10（现行版本为 2023），以及面向移动端的 OWASP Mobile Application Security 项目（MASVS/MASTG），因为这些攻击面各有其独特风险。
它是由 OWASP 发布、定期更新、由社区驱动的清单，列出对 Web 应用最关键的安全风险。它是业界衡量应用风险的共同参照点，但刻意定位为一份提高意识的文档，而不是完整的标准或测试计划。
现行版本是 2025 版，引用 2021 版已经过时。失效的访问控制仍居首位，安全配置错误升至 A02，并新增了两个类别：A03 软件供应链失效和 A10 异常情形处理不当。
不会直接这样用。在 Web 评估中，它通常用于梳理和沟通发现，把每个问题对应到一个风险类别，而实际的测试深度来自 OWASP Web 安全测试指南以及对照 ASVS 的验证。API 和移动应用有各自的对应标准：OWASP API Security Top 10 和 MASVS/MASTG。