秋季上新 | OWASP API 安全 TOP 10 2023

应用程序编程接口（API）是当今应用驱动世界创新的一个基本元素。从银行、零售、运输到物联网、 自动驾驶汽车、智慧城市，API 是现代移动、SaaS 和 web 应用程序的重要组成部分。从本质上讲，API 暴露了应用程序逻辑和敏感数据，如个人身份信息（PII），因此，API 越来越成为攻击者的目标。由于 API 特殊性质，需要一份特定于 API 的安全风险列表。API 安全侧重于策略和解决方案，从而可以了解和减轻与 API 相关的独特漏洞和安全风险。

     《OWASP API 安全 Top 10 2023》是项目发布的第二版，距离第一版发布整整四年。这四年来，API（安全）场景发生了很大变化。《OWASP API 安全 Top 10 2023》主要变化如下：

· 合并了“API3:2019 过度数据暴露”和“API6:2019 批量分配”，重点关注共同的根本原因：“API3:2023 对象属性级授权失效”。（合并）

· 更加重视资源消耗“API4:2023 资源消耗无限制”，而不是关注资源耗尽的速度“API4:2019 资源缺失 & 速率限制”。（更名）

· 创建了一个新类别“API6:2023 访问敏感业务流无限制”，以应对新的威胁，包括了大多数可 以通过限速来缓解的威胁。（新增）

· 添加了“2023:API10 API 的不安全使用”来解决已经开始出现的问题：攻击者已经开始寻找目标的集成服务来破坏这 些服务，而不是直接攻击目标的 API。（新增）