中文版说明

（1）本书为OWASP Application Security Verification Standard（V3.0.1）的中文版。本书尽量保留原版本的格式与风格，但部分语言风格调整为中文表述。其中存在的差异，敬请谅解。

（2）为方便读者阅读和理解本书中的内容，本书对原英文版中明确内容为空的章节进行了删除，并对原英文版中的部分章节内容进行了顺序调整，致使本书的章节编号与原英文版中的章节编号不同。

（3）本书中的表格包含每条描述项的序号，以及其在原英文版中的原描述项序号，以方便读者进行匹配。

（4）由于译者团队水平有限，存在的错误敬请指正。

（5）如果您有关于本书的任何意见或建议，可以通过以下方式联系我们：

邮箱：project@owasp.org.cn

微信公众号：

OWASP ASVS项目支持单位：

中文版工作团队成员简介：（按姓氏拼音顺序排序）

Rip

OWASP中国主席

OWASP S-SDLC项目、OWASP中文项目、OWASP中国各项目发起人，超过15年的安全领域从业经验，资深安全专家。

包悦忠

OWASP中国副主席

加拿大滑铁卢大学应用科学硕士。曾任职亚马逊（中国）首席信息安全官、微软可信赖计算部总监。长期在北美和中国高科技软件和互联网公司从事信息安全管理、软件安全开发及相关流程体系建设。微软内部认证SDL讲师，曾负责为中国政府、电信和金融等行业大客户提供软件安全评估、SDL培训及流程实施方面的咨询服务，帮助客户利用SDL的方法和实践，通过在软件开发生命周期过程中融入必要的安全活动，整体提高软件和应用的安全性。先后参与“OWASP Top 10”“OWASP安全测试指南”等多个OWASP中国分部项目。

李绪勤

英国华威大学博士，长期关注金融业务风险、金融风险等领域。拥有超过10年IT工作经验和信息安全实践经验。

王厚奎

OWASP中国广西区域负责人

南宁职业技术学院信息工程学院副教授

硕士研究生，持有CISP（CISO）、NISP、网络规划设计师、初级等保测评师、NSACE网络信息安全讲师等资质证书，并取得中国信息安全测评中心颁发的CISI讲师资格。中国计算机学会会员、广西信息安全学会会员。拥有14年IT工作经验，8年信息安全实践经验和培训教学经验，涉及网络管理、信息安全与风险管理、信息产品安全管理、信息安全省级项目调研等多个方面。自2010年加入OWASP组织和OWASP中国分部以来，先后参与了“OWASP Top 10”“OWASP Cheat Sheets”“OWASP Hacking-Lab”等多个应用安全研究项目。

王颉

OWASP中国副主席

OWASP中国成都区域负责人

深圳开源互联网安全技术有限公司副总经理

英国拉夫堡大学网络安全博士。长期从事企业信息体系建设落地和软件开发全生命周期研究工作，具有丰富的信息安全学术研究和资深的企业信息化建设实践经验。自2009年加入OWASP组织和OWASP中国分部以来，曾参与了“OWASP中文项目”和“OWASP S-SDLC项目”两个OWASP全球项目，并先后主持、参与和独立开展了“OWASP Top 10”“OWASP OpenSAMM”“OWASP安全编码规范快速参考指南”“OWASP安全测试指南”等多个OWASP中国分部项目，为在国内提高OWASP安全组织的影响力、提升OWASP研究成果的实用性和适用性做出了重要贡献。

吴楠

OWASP中国辽宁区域负责人

大连银行高级信息安全顾问

长期从事信息安全体系建设、银行业安全合规建设、S-SDLC的研究工作，并深入项目实施安全代码审计。在从事信息安全工作前，曾多年从事全生命周期的软件开发及项目管理工作。获得CISP、PMP、ISO 27001 IA、ISO 22301、Risk Mangement、CWASP L2安全专家、国家软件工程师、C-CCSK、ITIL等认证资质。自2015年加入OWASP组织和OWASP中国分部以来，先后参与了“OWASP Top 10”“OWASP Cheat Sheets”“OWASP Code Review”等应用安全项目，并从中积累了宝贵的经验。

张家银

OWASP S-SDLC项目主要负责人

安徽开源互联网安全技术有限公司总经理

拥有15年安全领域从业经验，资深S-SDLC专家。对软件安全开发流程、安全架构设计、应用安全解决方案、安全测试，以及应用安全扫描工具原理与设计有深入的研究与实践经验，曾主导完成全球最大云安全产品（年用户数7+亿人次）的S-SDLC全流程及落地。

赵学文

OWASP中国会员

“注册软件安全开发人员（CWASP CSSD）”认证持有者。自2017年加入OWASP中国分部以来，先后参与了OWASP中国组织的“OWASP Top 102017”“OWASP SAMM”“OWASP Cheat Sheets”“OWASP Code Review”等中文项目，为应用软件技术的研究与推广做出了积极项献。