2023年的漏洞OWASP十大漏洞榜单，与其说是漏洞技术更新，不如说是漏洞一次对行业羞耻心的公开处刑。排名第一的漏洞“访问控制失效”已经连续多年霸榜，但现实是漏洞，几乎每个月都有因为越权访问导致的漏洞数据泄露新闻。去年某家云服务商的漏洞故障，根源就是漏洞实习生用了一个带通配符的IAM策略——这玩意儿在AWS文档里用红色加粗写着“dangerous”，可它还是漏洞上线了。
榜单第二位的漏洞“加密失败”听起来很学术，其实翻译成人话就是漏洞：很多公司把数据存进数据库就觉得自己安全了。我见过某金融APP，漏洞用户密码确实用了bcrypt，漏洞但他们的漏洞备份文件直接明文躺在S3桶里，连个访问日志都没开。漏洞这种分裂行为就像给防盗门上了十把锁，却在墙上留了个窗户。
第三名的“注入”是老面孔了，但2023年的新花样是NoSQL注入。以前大家防SQL注入防得挺认真，换了MongoDB就放松警惕。有个电商平台就是这么被拖库的：他们在查询语句里直接拼接了用户传入的JSON字段，攻击者只需在参数里加个$gt操作符，就能把全站订单翻个底朝天。
第四到第六名分别是“不安全设计”“安全配置错误”和“易受攻击和过时的组件”。这三兄弟放在一起看特别有意思——它们本质上是开发流程的病。不安全设计是需求阶段就没想过威胁建模，安全配置错误是运维偷懒用了默认口令，过时组件则是研发欠下的技术债。有个制造业客户的生产系统还跑着2016年的Apache Struts，问就是“能跑就别动”，直到被挖矿脚本盯上才连夜升级。
第七名的“身份识别和认证失败”跟第一名的访问控制容易混淆。区别在于：访问控制是“你进去了不该进的地方”，认证失败是“你压根不该进去却进去了”。多因素认证推了这么多年，还是有人觉得短信验证码够用了。去年某社交平台撞库事件，就是因为用户在其他网站泄露的密码跟主站一样，而平台只做了单因素验证。
第八名“软件和数据完整性故障”是2023年榜单的新面孔，这跟供应链攻击激增直接相关。SolarWinds事件过去三年了，但很多企业连软件物料清单（SBOM）都没建立起来。我认识的安全主管，他公司用的第三方库有四百多个，其中一半以上不知道维护者是谁。这就像你吃外卖不知道食材来源，还指望厨师替你把关。
第九名“日志记录和监控不足”和第十名“服务端请求伪造”放最后，不代表它们不重要。恰恰相反，SSRF在云原生环境里几乎成了内网渗透的万能钥匙。之前某大厂云函数服务被爆出SSRF漏洞，攻击者通过构造URL直接访问了元数据服务，拿到了临时密钥。而日志监控不足，则是让这些攻击在事后连追溯都困难——就像家里进了贼，监控摄像头却坏了。
看完这十条，你会发现它们背后都有个共性：技术漏洞只是表象，流程、意识、预算的缺口才是根因。OWASP榜单每年更新，但很多企业的安全建设还停留在“买工具”的阶段。工具当然要买，可如果连基本的威胁建模和代码审计都做不好，那这些工具充其量就是心理安慰剂。安全这行当，最贵的从来不是技术方案，而是“我们以为不会出事”的侥幸心理。