OWASP Top 10 2021 不是一份“最佳实践清单”，它更像一份事故报告。2021 年这版把“访问控制失效”推到了第一位，94% 的被测应用都中过招。这个数字来自 OWASP 对几十万份真实应用的统计，不是实验室里拍脑袋想出来的。

先说 A01：访问控制失效（Broken Access Control）。这玩意儿说白了就是“你本不该看到的东西，偏偏看到了”。比如一个普通用户把 URL 里的 /user/123 改成 /user/124，结果看到了别人的订单。或者一个前端按钮被隐藏了，但后端接口没做校验，直接调用就能删掉别人的数据。我见过一个真实案例：某电商后台的“删除商品”接口只在前端判断了管理员角色，后端完全没验证，任何登录用户都能发个请求把商品清空。这不是技术漏洞，这是逻辑漏洞，扫漏洞的扫描器根本扫不出来。

A02 是加密机制失效（Cryptographic Failures），之前叫“敏感信息泄露”。改名是有道理的——问题往往出在加密本身，而不是泄露这个结果。比如用 MD5 存密码，或者用 ECB 模式加密用户数据。有个细节挺讽刺：很多团队用了 HTTPS，但数据库里的密码还是明文。2021 年这个类别里，硬编码密钥和弱哈希算法占了很大比例。我见过一个开源项目，把 AWS 的 access key 直接写在了前端 JS 文件里，任何人打开开发者工具都能看到。

A03 注入（Injection）掉到了第三位，不是因为它不危险，而是因为大家终于开始用参数化查询了。但 SQL 注入没死，只是换了地方。NoSQL 注入、LDAP 注入、甚至 XPath 注入还在。有个案例：某应用用 MongoDB，用户输入 { "$ne": null} 就能绕过登录。开发觉得“我不用 SQL，所以安全”，结果栽在了查询语法上。

接着是 A04 不安全设计（Insecure Design）。这是 2021 年新加的类别，挺有意思。它强调“设计阶段就错了，后面怎么修都是补丁”。比如一个密码重置功能，安全问题只有“你最喜欢的颜色是什么”，答案还能在社交媒体上找到。这不是代码写错了，是设计的时候就没考虑攻击者会怎么用。我认识一个团队，他们的“记住我”功能是把用户名和密码 base64 后存在 cookie 里，设计上就烂透了，代码再优雅也没用。

A05 安全配置错误（Security Misconfiguration）。这个类别常年上榜，因为云服务让配置变得又简单又危险。S3 存储桶公开、默认密码没改、错误页面暴露堆栈信息——都是老问题。有个数据挺吓人：2021 年暴露的 Elasticsearch 实例里，超过 30% 没有任何认证。不是漏洞，是根本没锁门。

后面几个类别我快速带过。A06 易受攻击和过时的组件（Vulnerable and Outdated Components）——Log4j 事件就是活例子。A07 身份识别和认证失败（Identification and Authentication Failures）——撞库、会话固定、弱密码策略。A08 软件和数据完整性失败（Software and Data Integrity Failures）——新加的，涉及 CI/CD 管道和反序列化。A09 安全日志和监控失败（Security Logging and Monitoring Failures）——很多入侵是几个月后才发现的。A10 服务端请求伪造（SSRF）——从 2019 的独立类别合并进来的，云环境下特别危险，因为能访问元数据接口。

整体看下来，2021 版的变化反映了一个趋势：攻击面从代码本身转移到了设计和配置。注入类漏洞在减少，但访问控制和 SSRF 在增加。如果你只盯着代码扫描工具，A01 和 A04 根本扫不出来。我的判断是：OWASP Top 10 越来越像一份“架构安全指南”，而不是“编码规范”。开发人员需要它，但架构师和产品经理更需要。