OWASP 应用程序安全验证标准 4.0.3

验证应用程序是否未记录凭据或支付信息。会话令牌应仅以不可逆的哈希形式存储在日志中。(C9, C10)

验证应用程序是否未记录根据当地隐私法或相关安全策略定义的其他敏感数据。(C9)

验证应用程序是否记录与安全相关的事件，包括成功和失败的身份验证事件、访问控制失败、反序列化失败和输入验证失败。(C5, C7)

验证每个日志事件是否包含必要的信息，以便在事件发生时能够对时间线进行详细调查。(C9)

确保所有身份验证决策都被记录，但不要存储敏感的会话令牌或密码。这应包括包含安全调查所需相关元数据的请求。

验证所有访问控制决策都可以被记录，并且所有失败的决策都已记录。这应包括安全调查所需的相关元数据请求。

验证所有日志组件是否适当编码数据以防止日志注入。（C9）

[已删除，7.3.1 重复]

验证安全日志是否受保护，防止未经授权的访问和修改。 (C9)

确保时间源与正确的时间和时区同步。如果系统是全球性的，强烈建议仅以 UTC 记录日志，以便事后进行事件取证分析。（C9）

验证当发生意外或安全敏感错误时，是否显示通用消息，可能带有支持人员可用来调查的唯一 ID。（C10）

验证在整个代码库中是否使用了异常处理（或功能等效方法）来处理预期和意外的错误情况。(C10)

验证是否定义了“最后手段”错误处理程序，该程序将捕获所有未处理的异常。(C10)