OWASP ASVS：应用安全验证标准

应用安全验证标准（ASVS）是一个面向 Web 应用的安全要求框架。它提供三个验证级别（L1、L2、L3）以及 200 多项详细的安全控制措施，并按章节组织，涵盖应用安全的各个方面。

L1 适用于所有应用，要求具备基本安全控制措施。L2 面向处理敏感数据的应用，涵盖大多数要求。L3 面向高保障应用（金融、医疗保健），要求最严格的验证。大多数团队以 L2 为目标。

ASVS V1 要求具备有文档记录的安全架构、威胁模型、明确记录的信任边界，并根据敏感性隔离组件。在架构阶段进行审查，可以在系统性缺陷演变成广泛的实现问题之前发现它们。

V2 涵盖密码要求（最小长度、检查是否为泄露密码、安全哈希）、会话管理、多因素身份验证要求、凭据恢复安全性以及防暴力破解攻击。

会话必须使用长度足够的密码学安全随机令牌，在注销和超时后失效，受到会话固定攻击防护；在适用的情况下，Cookie 必须使用 Secure、HttpOnly 和 SameSite=Strict 属性。

每次资源访问都必须在服务器端进行授权。ASVS V4 要求默认拒绝访问、防止目录遍历、防止垂直和水平权限提升，并记录访问控制决策。

V5 涵盖所有注入防护措施：针对 SQL 使用参数化查询、防止命令注入、安全解析 XML（防止 XXE）、防止 HTTP 标头注入，以及使用与上下文相关的输出编码来防止 XSS。

应用不得向用户暴露堆栈跟踪或内部路径。对于安全事件（身份验证失败、违反访问控制、输入验证失败），必须记录足够详细的信息，以便调查事件，同时不得记录敏感数据。

必须识别并分类敏感数据。机密信息和 PII 必须在静态存储和传输过程中加密。缓存和临时文件不得存储敏感数据。根据数据保留策略，不再需要的数据必须及时清除。

请在开发期间将 ASVS 用作要求清单，在安全测试期间将其用作测试计划，并在合规审查期间将其用作审计框架。请将 ASVS 控制措施分配给各团队，在项目管理工具中跟踪完成情况，并记录合规证据。

ASVS 可映射到 NIST 800-53、ISO 27001 和 PCI-DSS。将 ASVS 用作应用安全基线，可以简化合规工作，因为其中的控制措施可同时满足多个框架的要求，从而减少重复评估工作。

对于大多数处理敏感用户数据的应用，哪个 OWASP ASVS 级别最合适？

OWASP ASVS 提供了全面且结构化的安全要求框架，涵盖身份验证、会话管理、访问控制、注入防护、数据保护等方面。它将安全要求、实现指导和合规证据整合到一个标准中。