owasp-check

用途：依据 OWASP Top 10（2021）标准检查目标应用的安全控制，逐项查询 A01–A10 十类防护状态，生成 Pass/Fail/N-A 合规矩阵。适用于应用安全评审或发布前检查、面向安全审计的 OWASP 自查、向开发团队系统传达安全要求、渗透测试前识别风险优先级。无需外部工具，属于清单式检查，依赖检查者对目标应用技术栈的了解。输入项包括 APP_NAME（应用名称）、APP_TYPE（web/api/mobile）、TECH_STACK（技术栈，可选）。流程分四步：收集目标应用信息并初始化 /tmp/owasp_check_<日期>.md 报告；遍历 10 个类别逐题提示 y/n/s；打印合规矩阵并汇总失败项数量；打印按优先级排序的修复建议，并给出官方参考 https://owasp.org/Top10/。完成条件为 10 类全部查询完毕、合规矩阵已保存到报告文件、每个 FAIL 项附带 OWASP 参考链接和修复清单。限制与注意：正式用法、分类映射和完整清单见 REFERENCE.md；若问题不适用于当前技术栈（如 SPA 的服务器端渲染问题）可用 N/A(s)；检查中断可重跑并以 N/A 跳过已完成项；/tmp 权限问题可改用 ~/owasp_result.md；结果不替代正式审计，应与专业渗透测试配合；若准备 ISMS-P 认证，建议与 isms-checklist 技能一起运行。