OWASP Benchmark for Java：验证漏洞检测工具速度与准确率的可运行 Java 测试套件

OWASP-Benchmark/BenchmarkJava · OWASP Benchmark is a test suite designed to verify the speed and accuracy of software vulnerability detection tools. A fully runnable web app written in Java, it supports analysis by Static (SAST), Dynamic (DAST), and Runtime (IAST) tools that support Java. The idea is that since it is fully runnable and all the vulnerabilities are actually exploitable, it’s a fair test for any kind of vulnerability detection tool. For more details on this project, please see the OWASP Benchmark Project home page.

GitHub原文发布未知首次收录 2026-09-30上架 2026-09-30 07:02

☆ 收藏查看项目 ↗

ELI5：它是什么，解决什么问题

OWASP Benchmark for Java 是 OWASP Benchmark 项目的 Java 测试套件，用于验证软件漏洞检测工具的速度和准确率。它是一个完全可运行的 Java Web 应用，支持 SAST、DAST（如 ZAP）和 IAST 等应用安全测试工具对其进行分析。项目刻意包含的可被利用漏洞会参与评分，因此对各类漏洞检测工具构成相对公平的测试；项目还包含针对多种开源与商业 AST 工具的评分卡生成器，支持的工具集合持续增长，该评分能力由 BenchmarkUtils 项目实现。项目文档位于 OWASP Benchmark 项目页面。

# Java # OWASP # static-analysis # 漏洞审计 # 质量保障

核心能力与快速开始

★ 824 · Java

能做什么: 提供完全可运行的 Java Web 应用测试套件，用于验证漏洞检测工具的速度和准确率；支持 SAST、DAST（如 ZAP）、IAST 等应用安全测试工具分析；刻意包含并评分实际可被利用的漏洞；包含针对多种开源与商业 AST 工具的评分卡生成器（由 BenchmarkUtils 项目实现）；提供 runBenchmark.sh 运行 Benchmark Web 应用（仅本机可访问），以及 runRemoteAccessibleBenchmark.sh 开放 8443 端口供外部访问。
适用场景: 评估和对比 SAST、DAST、IAST 等应用安全测试工具的速度与准确率；验证漏洞检测工具对实际可利用漏洞的检出能力；借助评分卡生成器对开源与商业 AST 工具进行评分。
项目形态: 可直接使用的工具
部署方式: 可通过 shell 脚本运行：runBenchmark.sh 运行 Benchmark Web 应用，仅限本机访问；runRemoteAccessibleBenchmark.sh 允许 8443 端口对外可访问。其余部署条件未说明。
主要依赖: Java 环境；具体版本与硬件要求未说明。
使用限制: README 未说明工具支持范围的限制、检测覆盖边界、评分方法细节或已知约束；许可为 GPL-2.0，商用与改造条件未在材料中说明。
许可证: GPL-2.0
最近推送: 2026-09-28 19:05

官方入门项目文档核对 README 依据 ↗

资料检查：2026-09-30 07:00 · 卡片整理：2026-09-30 07:00
卡片由 AI 根据仓库资料整理，未进行安装或运行验证 · 本次更新未完成，保留上次成功内容

职业应用

程序员

作为可运行的 Java Web 应用，供程序员用 SAST、DAST（如 ZAP）、IAST 等应用安全测试工具对其进行分析，以验证漏洞检测工具的速度和准确率；项目还包含针对多种开源与商业 AST 工具的评分卡生成器。

查看内容依据

OWASP Benchmark is a test suite designed to verify the speed and accuracy of software vulnerability detection tools. A fully runnable web app written in Java, it supports analysis by Static (SAST), Dynamic (DAST), and Runtime (IAST) tools that support Java.

官方使用入口 ↗

由 AI 根据来源材料整理，未进行安装或运行验证

相似资源

jev-suite：基于 Jev 决策模型构建的四类决策质量校验工具套件

jev-suite 是一套建立在 Jev（TypeSafe System One）决策模型之上的 Java 工具套件，包含 jev-proof、jev-fit、jev-fidelity、jev-rental 四个应用，分别用于判断赞助视频是否交付了约定内容、候选人相对岗位要求的差距、编辑是否保留原文信息、以及看房前需与房源代理确认的事项。共享内核 jev-kit 提供 JevClient 类型化客户端、三路判定门 NoulGate 与外部文本防提示注入清洗器。设计上坚持“Jev 判断、代码决定”，阈值与路由由单元测试覆盖的确定性 Java 代码掌握，模型不可达时降级为人工复核，评测拒绝模拟数据，无证据即失败关闭。

ci-intelligence-lab：验证 Harness CI 智能特性的 Java 示例项目

这是一个 Java 17 / Maven 项目，用于验证 Harness CI Intelligence 的 Cache Intelligence、Test Intelligence 和 Build Intelligence 功能。仓库包含订单处理、库存管理、定价、通知与输入校验等模块作为示例代码，可通过 mvn clean test 在本地运行测试。项目本身不含 AI 模型或算法实现，属于 CI 智能能力的验证性示例工程。

Benzi：基于编译器索引的编程智能体与代码智能引擎

Benzi 是一个由编译器驱动的编程智能体（coding agent）：它先用基于 tree-sitter 的编译器解析整个代码库，构建出可查询的调用关系、数据流与控制流映射，再基于该索引来讲解、运行、修改并验证代码。附带运行期追踪器，用于补足静态分析无法确定的部分。该编译器同时可作为 MCP 服务器使用，支持多语言与多模型接入，官方称在 SWE-bench Verified 上取得 391/500（78.2%）的结果。

review-pro：面向编码 Agent 的仓库感知 AI 代码审查系统

review-pro 是一个开源的仓库感知代码审查系统，面向 Claude Code、opencode、Cursor、Codex 等编码代理。它先对 diff 做分类，只调度十三类专用审查者中相关的那些并行审查，每个审查者都必须在仓库文件中定位证据；随后由综合阶段去重、按领域归属消解冲突、校准严重程度，输出 BLOCK / REQUEST CHANGES / APPROVE 单一结论，并对 Medium 及以上问题派独立代理尝试反驳验证。它还支持通过 .review-pro/ 安装技术栈包（TypeScript/React、Python、Go、Rust、Next.js、WordPress 等）和编写仓库规则（含 co-change 规则），以捕捉 diff 未触及文件中已经存在的约定，例如事故后加的防护或规范化的辅助函数。

这是基于来源内容整理的摘要。原文链接失效后，本页摘要和讨论仍会保留。