用 Strix 按 OWASP Top 10:2025…

当你需要对应用做 OWASP Top 10（或 API Security Top 10）合规/安全评估，并希望只报告真正可利用的问题、明确标注无法测试的类别时使用。

适用场景

解决思路

1. 使用当前版本 OWASP Top 10:2025（第 8 版，取代 2021）；若用户要求旧版需先确认，因为部分合规清单仍引用 2021，标注错误版本会产生误导。注意 2025 与 2021 的关键差异：SSRF 并入 A01；A03 Software Supply Chain Failures 扩展了旧的“Vulnerable and Outdated Components”；A10 Mishandling of Exceptional Conditions 为新增；A02 Security Misconfiguration 从第 5 位升到第 2 位。
2. 安装、LLM 配置及托管云替代方案参见 penetration-testing-with-strix；若无 Docker 且无 LLM key，可用同一二进制驱动托管平台：先 `strix cloud login`，再 `strix cloud scans start ...`（详见 managed-pentesting-with-strix）。
3. 向用户如实说明哪些类别可测、哪些不可测，不要声称十类全部通过：A01 Broken Access Control（含 SSRF）覆盖强，需两个账号加一个特权账号来证明授权部分；A02 Security Misconfiguration 覆盖强；A03 Software Supply Chain Failures 部分覆盖，运行时扫描只能做版本指纹识别和依赖审查，构建系统与分发基础设施被攻陷不在范围内，需配合 SCA 和构建溯源控制；A04 Cryptographic Failures 部分覆盖，传输配置、明文传输、响应中泄露的密钥和令牌可测，静态加密和密钥管理需源码或基础设施审查；A05 Injection 覆盖强；A06 Insecure Design 部分覆盖，可发现业务逻辑滥用（价格/数量篡改、跳过流程、竞态条件），设计意图仍需人工审查和威胁建模；A07 Authentication Failures 覆盖强；A08 Software or Data Integrity Failures 部分覆盖，可测不安全反序列化和未签名更新路径，CI/CD 信任边界无法运行时测试；A09 Security Logging & Alerting Failures 从外部不可测，需审查日志与告警管道，应明确说明而非报告为通过；A10 Mishandling of Exceptional Conditions 部分覆盖，agent 会主动探测错误处理和 fail-open 行为（畸形输入、强制错误、竞态和超时条件）并报告泄露或绕过控制的情况，内部错误路径的穷尽覆盖需源码审查。
4. 对 API 运行同样的练习，针对 OWASP API Security Top 10 (2023)：API1 BOLA、API3 Broken Object Property Level Authorization（2019 的 excessive data exposure 与 mass assignment 合并）、API5 broken function-level authorization，使用 api-security-testing 技能。
5. 为获得最大类别覆盖，向 agent 同时提供源码和运行实例，以及两个权限级别的凭据，运行命令：`strix -n -t https://github.com/org/app -t https://staging.example.com --scan-mode deep --max-budget 30 --instruction "OWASP Top 10:2025 assessment. Cover every category systematically and map each finding to its 2025 category id. Accounts: userA@example.com/<pw> (org 1), userB@example.com/<pw> (org 2), admin@example.com/<pw>. Prioritise A01 (cross-org access, privilege escalation, SSRF), A02, A05, A07, A10. Out of scope: /billing/*, outbound email."`
6. `--scan-mode deep` 在此很重要：系统性地走完十个类别不是快速扫描。
7. 若没有第二个账号，A01 结果在结构上不完整——应在报告中说明，而不是隐含带过。
8. 需要面向审计的 PDF 时，通过托管平台运行并拉取技术报告（managed-pentesting-with-strix）。
9. 从 `strix_runs/<run>/` 中按类别分组 `vulnerabilities/*.md`，并逐类别说明：尝试了什么、证明了什么、哪些无法评估（A09 总是无法评估；A03/A04/A06/A08/A10 部分无法评估）。报告中标注所用版本。每个 PoC 在呈现给用户前自行验证。
10. 退出码 `0` 仅表示在“已分析范围内”未证明可利用——检查 `run.json` 状态和成本是否触及 `--max-budget`；被预算截断的运行不算完成的评估。
11. 用 fix-security-vulnerabilities-with-strix 修复并重新运行，以证明每个漏洞利用已被关闭。
12. 为在应用变化时持续覆盖，使用 ci-security-scanning-with-strix 对 pull request 做门禁。

适用边界 · 注意事项

• 不要声称十类全部通过或给出“全绿”结论——A09 从外部不可测，A03/A04/A06/A08/A10 仅部分可测，误导性报告会掩盖真实风险。
• 不要在未与用户确认的情况下针对旧版 OWASP Top 10（如 2021）出报告，版本标注错误会产生误导。
• 不要在没有第二个账号的情况下把 A01 结果当作完整授权测试结论。