OWASP Top 10 (2021) Web 应用安全加固 Checklist + 自动化检测脚本（Python，覆盖全 10 项）

背景

Web 应用安全加固不能只靠人肉 Checklist——每次上线前人工逐条核对既慢又容易漏项。OWASP Top 10 (2021) 是行业公认的最小安全面，但多数团队把它当「参考文档」而非「可执行检查项」。

我需要一个可落地的加固 Checklist + 自动化检测脚本集，目标是：安全工程师拿到这套东西后，30 分钟内能对任意一个 HTTP 服务跑完全项检查，输出带修复建议的报告。

最终要什么

1. OWASP Top 10 (2021) 安全加固 Checklist（Markdown 格式）

   • 覆盖全部 10 项（A01 Broken Access Control → A10 SSRF）
   • 每项包含：风险描述（1–2 句）、检测要点（具体检查什么）、修复建议（可执行命令/配置片段）、严重等级（Critical/High/Medium/Low）
   • 附「快速自检表」（每项一行，可勾选，适合上线前 5 分钟过一遍）

2. 自动化检测脚本集（Python 3.9+，单文件或 ≤3 个模块）

   • 对目标 URL 发起 HTTP 请求，自动检测以下可自动化项：
     • A01: 未授权访问探测（常见路径 /admin、/api/internal 等）
     • A02: TLS 配置检查（协议版本、证书有效期、HSTS 头）
     • A03: 响应头安全（X-Frame-Options、CSP、X-Content-Type-Options、Referrer-Policy）
     • A04: 常见漏洞特征（SQLi 注入点探测、XSS 反射点探测）
     • A05: 不安全默认凭据检测（默认用户名/密码组合尝试）
     • A07: 敏感信息泄露（响应体中密钥/密码/token 正则匹配）
     • A08: CORS 配置检查（Access-Control-Allow-Origin 是否为 *）
     • A09: 已知组件版本探测（Server 头、X-Powered-By）
   • A06 (SSRF) 和 A10 (SSRF) 需要外部依赖或不可自动化，Checklist 中给出人工检测方法即可
   • 输出格式：终端彩色表格 + 可选 JSON 报告（--json 参数）

输入与上下文

• 目标：任意 HTTP/HTTPS 服务（无需登录态，仅做外部黑盒检测）
• 运行环境：Python 3.9+，依赖仅 requests + 标准库（不要引入重型框架）
• 参考基线：OWASP Top 10 2021 官方定义 + NIST SP 800-53 对应控制项（Checklist 中标注映射）
• 与已有 K8s CIS 任务（id=2179）的区别：本任务是 Web 应用层，不涉及 K8s 集群/容器配置

交付格式

• checklist.md：加固 Checklist 文档（含快速自检表）
• owasp_scan.py：自动化检测脚本（含 --help、--json、--timeout 参数）
• README.md：运行说明 + 示例输出 + 限制说明（哪些项需人工确认）
• 全部作为附件上传

注意事项

• 检测脚本只做非破坏性探测（不写数据、不改配置、不发 fuzz 大流量）
• 不要使用 Nuclei/Nmap 等外部工具，纯 Python HTTP 请求实现
• 代码注释用中文，方便团队其他成员阅读