OWASP 应用程序安全验证标准 4.0.3

验证输出编码是否与解释器和所需上下文相关。例如，根据上下文需要，使用专门用于 HTML 值、HTML 属性、JavaScript、URL 参数、HTTP 头、SMTP 等的编码器，特别是针对不可信输入（例如包含 Unicode 或撇号的名称，如 ねこ 或 O'Hara）。(C4)

验证输出编码是否保留用户选择的字符集和区域设置，以确保任何 Unicode 字符点都是有效且安全处理的。(C4)

验证上下文感知的输出转义（最好是自动的，最坏情况下是手动的）是否能防护反射型、存储型和基于 DOM 的 XSS。（C4）

验证数据选择或数据库查询（例如 SQL、HQL、ORM、NoSQL）是否使用参数化查询、ORM、实体框架，或以其他方式防止数据库注入攻击。(C3)

确认在没有使用参数化或更安全的机制时，采用了特定上下文的输出编码来防止注入攻击，例如使用 SQL 转义来防止 SQL 注入。(C3, C4)

验证应用程序是否能够防护 JSON 注入攻击、JSON eval 攻击以及 JavaScript 表达式求值攻击。（C4）

验证应用程序是否能防护LDAP注入漏洞，或者是否已经实施了防止LDAP注入的特定安全控制措施。(C4)

验证应用程序是否能防止操作系统命令注入，并确保操作系统调用使用参数化的 OS 查询或使用上下文命令行输出编码。(C4)

验证应用程序是否能够防护本地文件包含（LFI）或远程文件包含（RFI）攻击。

验证应用程序是否能够防止 XPath 注入或 XML 注入攻击。（C4）