OWASP
開放網路應用程式安全計畫
致力提升軟體應用程式安全的全球開放社群
造訪官方網站沿革
OWASP 原名 Open Web Application Security Project，成立於 2001 年，由資安研究員 Mark Curphey 於美國發起，後於 2022 年正式更名為 Open Worldwide Application Security Project，以反映其全球性的開放社群定位。組織以非營利、社群驅動方式運作，強調開放、透明與免費共享知識資源，是國際間最具影響力的應用程式安全開放社群之一。回顧 OWASP 的發展脈絡，其誕生背景可追溯至 2000 年代初期，當時網頁應用程式快速普及，線上交易與資料服務蓬勃發展，但應用程式層面的安全防護普遍薄弱，SQL 注入、跨站腳本（XSS）、身分驗證缺失等漏洞層出不窮，企業缺乏一套共通的風險認知與防護準則。Mark Curphey 有感於應用安全知識被少數廠商壟斷、缺乏開放交流，遂創立 OWASP，致力以開放社群模式匯聚全球志工，共同產出可免費取得的安全知識與工具。2003 年，OWASP 發布首份《OWASP Top 10》，系統性列出十大最嚴重的網頁應用安全風險，迅速成為業界與稽核機構引用最廣泛的應用安全參考，並定期隨威脅演進更新版本。同年起，OWASP 開始推動《測試指南》（Testing Guide）與《開發指南》（Development Guide）等實務文件，逐步建立涵蓋安全開發生命週期（SDLC）各階段的知識體系。2004 年，OWASP Foundation 正式登記為美國 501(c)(3) 非營利組織，為社群運作提供穩定的法人基礎與治理架構，並於美國設立總部，由理事會（Board of Directors）負責治理。隨後數年，OWASP 持續擴展，於全球各地成立分會（Chapters），並推出 ZAP（Zed Attack Proxy）、WebGoat、Dependency-Check 等知名開源工具，建立以專案（Project）為核心的知識生產機制。2010 年代，OWASP 將研究範疇自傳統網頁延伸至行動應用、API、雲端與物聯網，陸續發布《Mobile Top 10》、《API Security Top 10》等風險清單，並完善 ASVS 應用安全驗證標準、SAMM 軟體保證成熟度模型等框架，協助組織建立可量化、可衡量的安全成熟度評估機制。同時，OWASP 透過年度 OWASP Global AppSec 等國際會議與各地分會活動，促進全球產學交流與人才培育。2022 年，組織更名為 Open Worldwide Application Security Project，標誌其立足全球、擴大影響力的定位。近年 OWASP 因應軟體供應鏈與生成式 AI 等新興議題，投入 CycloneDX 軟體物料清單（SBOM）標準、AI 安全、雲端原生應用安全等領域，持續引領應用安全發展方向。歷經二十餘年耕耘，OWASP 已成為全球應用程式安全知識、標準與開源工具最重要的共享來源，所有產出皆秉持開放、免費、社群協作精神，為企業、政府與開發者提供可信任的安全實務參考，成為推動軟體安全普及化的關鍵力量。
研究重點
OWASP 的研究與實務動能集中於其旗艦計畫（Flagship Projects）與開源工具生態。在關鍵計畫方面，《OWASP Top 10》定期揭示最嚴重的網頁應用安全風險，為業界風險溝通的共通語言；ASVS（Application Security Verification Standard）提供分級的應用安全驗證標準；SAMM（Software Assurance Maturity Model）建立軟體保證成熟度評估模型；《Testing Guide》涵蓋完整滲透測試方法論；Cheat Sheet Series 彙整各類安全防護速查指引；《Mobile Top 10》與《API Security Top 10》則將風險視角延伸至行動應用與 API。在開源工具方面，ZAP（Zed Attack Proxy）為廣為使用的網頁應用程式滲透測試代理；Dependency-Check 自動檢測專案依賴元件已知漏洞；ModSecurity Core Rule Set（CRS）提供通用 Web 攻擊防護規則集；Juice Shop 與 WebGoat 為安全演練與教學用的刻意漏洞應用；Amass 進行攻擊面與子網域偵察；CycloneDX 為軟體物料清單（SBOM）標準規格；OWTF（OWASP Web Testing Framework）整合化測試流程。各專案由全球志工維護，透過開放協作持續因應威脅演進，協助開發與資安團隊將安全落實於軟體生命週期。
貢獻與資源
OWASP 對應用安全領域的貢獻，主要體現於其重要指引與驗證標準，並以開放、免費方式提供全球使用。在驗證標準方面，ASVS（Application Security Verification Standard）建立分三級的應用安全驗證基準，可用於安全需求定義、設計審查與測試驗收；SAMM（Software Assurance Maturity Model）提供評估軟體安全成熟度的量化架構，協助組織規劃改善路徑。在重要指引方面，《OWASP Top 10》為全球引用最廣的應用安全風險清單；《OWASP Testing Guide》系統化涵蓋網頁應用滲透測試方法論；《OWASP Cheat Sheet Series》針對常見安全議題提供可落實的防護速查；《OWASP Risk Rating Methodology》提供風險評級標準方法；《Mobile Top 10》、《API Security Top 10》與《Cloud-Native Application Security Top 10》將風險視角延伸至行動、API 與雲端原生場景；Code Review Guide 則補足安全程式碼審查實務。此外，OWASP 透過全球各地分會、年度 OWASP Global AppSec 會議、教育訓練與認證體系，推動安全開發實務普及化，所有指引、標準與工具皆開放免費使用，為企業與開發團隊建立一致、可衡量且持續演進的應用安全治理能力。
對台灣的價值
OWASP 的標準與工具可直接協助台灣開發團隊將安全內建於軟體開發流程，降低應用程式漏洞風險，並透過在地分會參與促進產學交流，培育應用安全人才，提升軟體產業整體安全品質。