OWASP WebGoat 是由 OWASP（开放 Web 应用安全项目）维护的一款故意设计有安全漏洞的 Web 应用程序，目的是为安全从业者、开发人员和学生提供交互式的靶场训练环境。作为业界知名的漏洞演练平台，它通过模拟真实攻击场景帮助用户理解常见 Web 漏洞的原理与防御方法，是学习 Web 安全的首选入门工具之一。
核心功能
- 交互式漏洞课程：内置超过 30 个涵盖 OWASP Top 10 的漏洞主题，包括 SQL 注入、跨站脚本（XSS）、失效的访问控制、路径遍历、跨站请求伪造（CSRF）等，每个课程附带背景说明和步骤指导。
- 实战靶场环境：每道题目对应一个可操作的漏洞场景，用户需通过手动构造绕过触发器或利用漏洞来获取 flag，沉浸式体验攻击与防御的过程。
- 实时反馈与提示：针对每个挑战提供分级提示，帮助初学者逐步分析问题；系统还会记录完成进度与得分，方便自我评估。
- WebWolf 辅助工具：内置模拟攻击者服务器，支持接收回调、钓鱼页面与服务端点，配合 WebGoat 完成需要外部交互的课程（如 CSRF、文件上传绕过）。
- 多方式快速部署：提供 Docker 镜像、独立 JAR 包、虚拟机镜像（OWASP BWA）等多种部署方案，支持一键启动，无需复杂配置即可在本地或云端运行。
- 持续更新与社区支持：由 OWASP 社区维护，定期新增漏洞类型和课程内容，保持与最新攻击技术同步。
适用人群
WebGoat 主要面向希望系统学习 Web 安全漏洞的初学者、需要提升代码安全意识的开发人员、进行渗透测试训练的初级安全工程师，以及高校信息安全相关课程的教学场景。它适用于个人自学、企业内训、CTF 赛前实战练习等多种场景，用户无需搭建额外环境即可在本地独立完成全部课程。
作为 OWASP 官方推出的教育项目，WebGoat 拥有极高的行业公信力，被全球各大安全机构、企业和培训机构广泛采用。其完全免费开源，功能对标 DVWA、Mutillidae 等同类靶场，但课程结构更系统、交互反馈更完善。通过完成数百个挑战，用户可逐步掌握 SQL 注入、XSS、会话管理 等关键攻击与防御手法，为后续深入学习渗透测试或安全开发奠定扎实基础。