OWASP Cheat Sheet Series

OWASP Cheat Sheet Series 将常见安全问题整理为可执行的实践手册，适合在需求评审、代码审查和上线检查时查找 XSS、CSRF、授权、会话、文件上传、第三方依赖、安全响应头和日志等主题。它比只记住某个 API 更适合建立“输入从哪里来、在哪里解释、谁有权限、失败如何记录”的审查习惯。

这些手册是通用指南，不是针对某个框架的完整配置，也不能替代 RFC、浏览器规范、框架官方文档、威胁建模或渗透测试。示例中的安全策略需要结合应用的部署拓扑、认证方式、浏览器兼容性和业务数据流验证；不能把一条建议机械复制到所有项目。

使用时应记录采用的规则、例外原因和验证方式。例如启用 CSP 后仍需检查输出编码和 DOM API，加入 CSRF 防护后仍需在服务端验证会话和授权，开启安全响应头后还要确认静态资源、第三方脚本和嵌入场景没有被意外阻断。安全检查应覆盖浏览器、服务端、构建和发布链路。

该系列文档和仓库公开维护，可免费阅读和在许可允许范围内复用，不包含商业扫描服务、托管额度或安全认证。规范和浏览器行为会变化，项目应固定引用版本和复核日期，对高风险功能保留人工审查与真实攻击路径测试。