简而言之：使用 OWASP ASVS 对您的应用安全程序进行基准测试
OWASP ASVS 是一种衡量标准，而不是证书。 它的价值取决于你用它衡量什么，以及当有人问起你的应用程序达到哪个级别时，你能提供的证据。
- 目前没有官方的OWASP ASVS认证。 一个声明的有效性取决于其背后的验证，因此买家和审核员越来越倾向于询问它是如何验证的。
- 组织机构主要通过以下四种方式使用它： 作为安全开发基线、渗透测试范围、采购要求和差距驱动型路线图。
- 采用与否取决于范围和所有权，而不是安全知识。 许多需求最终被证明是不适用的，或者属于其他团队的职责范围。
- 版本很重要。 ASVS 5.0 于 2025 年重新调整了级别，因此每项索赔和每份合同都应明确指定版本，例如
v5.0.0. - 尽可能自动化，其余部分进行验证。 扫描结果与 OWASP ASVS 要求 ID 的映射关系可使部分基准保持最新；设计评审和测试可覆盖其余部分。
几乎每个应用安全团队都听说过 OWASP 应用安全验证。 Standard更广为人知的名称是 OWASP ASVS。然而，能够明确指出其应用程序实际达到哪个级别的应用却寥寥无几，更遑论向审计人员或客户证明这一点。OWASP ASVS 的价值就体现在这里，或者说，它的价值也就在这里丧失。
这篇文章并没有总结…… standard，因为 standard 在这方面做得很好。它研究了组织实际如何使用OWASP ASVS，在采用过程中哪些环节会产生阻力，以及如何…… standard 经过 18 年的发展，如何将自己的项目与之进行比较。
用一段话概括OWASP ASVS是什么
OWASP ASVS 于 2008 年发布，它是一个针对 Web 应用程序和 API 的安全需求目录，每个需求都经过精心编写，以便进行客观验证。这些需求被分为三个累积级别，因此工作量会随着应用程序风险的增加而增加。与 ISO 27001 等组织级框架不同，OWASP ASVS 着眼于具体的、可供开发人员、测试人员和采购人员使用的需求层面。当前版本为： 5.0 年于 2025 年 5 月在巴塞罗那举行的 Global AppSec EU 大会上现场发布。
在成熟阶梯上历经18年
自 2008 年以来，OWASP ASVS 发生了很大变化。4.0 版本（2019 年）重构了…… standard 围绕分层模型，4.0.3 (2021) 成为采购团队多年来一直引用的版本。 5.0 年 对其进行了现代化改造：17 个章节包含约 350 项要求，简化了 1 级标准以降低准入门槛，新增了关于 Web 前端安全和自包含令牌的章节，并建立了一个专门的网站。
这18年间的模式很清晰： 这个 standard 成熟速度快于其普及速度。 许多组织在合同和审计中仍然引用 4.x 的要求，而这些要求本身已经发生了变化。
谁在使用OWASP ASVS，以及用于什么用途？
五种实际用途，每种用途的功能，以及容易出现故障的地方。
| 绝大部分储备使用 | 谁使用它 | 它提供了什么 | 它断裂的地方 |
|---|---|---|---|
| 安全开发基线 | 开发商和建筑师 | 对“足够安全”进行具体定义，可作为验收标准。 | 数百项要求，其中许多不适用或属于其他团队。 |
| 渗透测试和审计范围 | 测试人员和审核人员 | 报告应将发现结果与需求 ID 对应起来，并显示覆盖范围，而不仅仅是缺陷列表。 | 除非示波器同时显示电平和版本，否则无法比较结果。 |
| 采购与合同 | 买方和供应商风险团队 | RFP和合同中明确规定：“交付的系统应达到ASVS 2级标准”。 | 由于没有官方认证，买方必须自行决定接受何种证明文件。 |
| GRC 和合规性证据 | 合规团队 | 为审核准备工作，需映射 ISO 27001 和 PCI DSS 等框架。 | 通常仍处于技术阶段 standard GRC 工具无法跟踪 |
| 差距分析和路线图 | 应用安全领导者 | 一份基于层级的差距清单，可以分阶段弥补。 | 除非重新验证，否则很快就会失效，因为代码和 standard 更改 |
它的采用会造成摩擦。
关于 OWASP ASVS 采用情况的最有用描述来自实际应用过该方案的团队。SoftwareMill 的报告就是一个详细的例子。 在现有系统中实施 ASVS 2 级这是一个基于 Kubernetes 的成熟微服务平台。其中有四点经验教训尤为突出，并且与我们在整个行业中观察到的情况相符。
最后没有颁发证书。 OWASP 不认证 ASVS 级别。在该项目中，验证工作结合了渗透测试和基于自我评估表的内部审计，并每年重复进行。任何“OWASP ASVS 2 级”的说法都只是对验证流程的一种陈述，而买家也逐渐学会了询问该流程。
范围界定比安全保障需要更多工作。 团队审查的267项二级需求中，超过一半已经满足，80项不适用。有些需求根本不属于团队职责范围：例如，身份管理由另一个内部团队负责，该团队需要通过自身的ASVS检查。ASVS级别属于某个系统，而系统是跨越团队边界的。
版本存在差异。 在 4.0.3 和 5.0 版本之间，一些需求级别发生了变化。团队之前标记的一项 JSON 验证需求在新版本中从 1 级提升到了 3 级。这是一个无法将版本衡量标准与不断变化的目标挂钩的基准测试。
GRC问题仍悬而未决。 OWASP ASVS 的设计初衷是用于合同：买方设定所需级别，卖方证明软件满足该级别要求。但在实践中，许多组织仍然主要将 OWASP ASVS 用作工程和测试工具。合规团队会将其映射到更广泛的框架中，但需求 ID 与证明该需求的证据之间的关联通常是手动完成的，这使得持续报告变得困难。
如何根据 OWASP ASVS 对您的应用安全程序进行基准测试
一个切实可行的基准测试并非从要求 1.1.1 开始，而是从……开始。cis关于范围的离子。
- 对应用程序进行分层，并设定目标级别。 1 级作为所有应用的基准，2 级用于处理敏感数据的应用，3 级仅用于关键系统。
- 固定版本。 与 v5.0.0 进行基准测试，并引用其需求 ID，以便结果能够随着时间的推移保持可比性。
- 先瞄准再得分。 对于任何跨越团队边界的要求，请用书面理由将其标记为不适用，并指定负责人。
- 实现可验证层的自动化。 地图扫描结果（代码、基础设施即代码、 pipelines) 到 OWASP ASVS 要求 ID，因此基准测试的一部分会在每次扫描时更新，而不是每年一次。
- 其余部分请人工核对。 架构、业务逻辑和流程需求需要进行设计评审、威胁建模和测试。
- 将差距转化为分阶段的路线图。 在将个别申请推进到第二阶段之前，先弥合整个投资组合中的第一阶段差距。
- 按计划进行复核，并在发生重大变更后进行复核。 年度审核是常见的最低要求。如果能持续从工具中获取证据，年度审核的时间就会大大缩短。
应用之外：ASVS 和 SPVS
OWASP ASVS 涵盖应用程序，但不涵盖…… pipeline 负责生产和运输的环节，也是目前许多最具破坏性的供应链攻击的目标所在。这个缺口正是…… OWASP 安全 Pipeline 企业验证 Standard （SPVS） 解决方案：一套基于成熟度的控制措施，涵盖计划、开发、集成、发布和运营，于 2025 年 1.0 月达到 1.0 版本。
他们俩 standard两者相辅相成：ASVS 用于构建内容，SPVS 用于构建方式。
Xygeni 如何将研究结果映射到 OWASP ASVS
OWASP ASVS 是其中之一 standardXygeni 主要关注 SPVS 以及其他方面。Xygeni 的 SAST, IaC 和 CI/CD 每个检测器都会被标记上其对应的 ASVS 要求。这改变了检测结果的含义：它不再仅仅是“此文件中存在的问题”，而是支持或反对基准测试中特定要求的证据。
这些发现流入 Xygeni ASPM并将它们与来自您的其他技术栈的发现一起进行优先级排序。 Pipeline 调查结果来自 西吉尼 CI/CD 安保防护 和 IaC 检查 将同样的逻辑延伸到代码之外。了解你的工具已经满足哪些需求，可以让你将人工审查的重点放在真正需要人工干预的需求上。
查看您的发现与 OWASP ASVS 要求的对应关系
每年更新一次的基准测试描述了去年的应用情况。 预约演示 查看 Xygeni 地图 SAST, IaC和 CI/CD 调查结果符合 OWASP ASVS 要求，或 免费开始 今天就开始扫描你的第一个存储库吧。
常见问题解答
OWASP ASVS有官方认证吗？
不，OWASP 不认证 ASVS 级别。组织通过渗透测试、审计和自我评估来验证级别，因此级别声明背后的证据与声明本身同样重要。
ASVS 5.0 版本有哪些变化？
5.0 版本于 2025 年 5 月发布，包含 17 个章节，约有 350 项要求，简化了 1 级，新增了 Web 前端安全等章节，并更新了有关密码学和身份验证的指南。
我的应用程序应该达到哪个OWASP ASVS级别？
1 级是任何应用程序的基准，2 级适用于大多数处理敏感数据的业务应用程序，3 级适用于关键系统，因为一旦发生安全漏洞，后果将十分严重。
OWASP ASVS 和 SPVS 有什么区别？
OWASP ASVS 定义了应用程序本身的安全要求。SPVS 定义了可验证的控制措施。 pipeline 构建、测试和交付它。
