ESAPI文档和教程

Question

我对ESAPI感兴趣，可以在生产环境中使用。 是否有关于如何正确设置Web应用程序的官方非官方文档？

Answer 1

ESAPI有良好的意图，事实上在OWASP十大问题中被引用。

然而，它的主要发展并不是非常活跃。该库按 提供。

根据版本，有两个Java库：

• OWASP Enterprise Security API for Java：版本＆gt; = 3.x
  • 由一位撰稿人（Chris Schmidt）维护，last code commit（截至今日）是2013年11月20日。
• Enterprise Security API for Java (Legacy)：版本＆lt; = 2.x
  • 由至少3名贡献者维护，last code commit（截至今日）于2015年5月30日。

希望有文档（https://www.owasp.org/index.php/ESAPI_Documentation），尤其是：How to Use ESAPI in a New Application。

但目前，它真的很轻......

截至2014年3月，该项目已从旗舰级别（http://off-the-wall-security.blogspot.fr/2014/03/esapi-no-longer-owasp-flagship-project.html）降级。 （归功于avgvstvs）

如果您仍想学习ESAPI，那么您目前可以获得最佳效果：

• ESAPI swing set，一个“演示ESAPI的多种用途的Web应用程序”（https://www.owasp.org/index.php/ESAPI_Swingset）
• 旧版本（https://github.com/ESAPI/esapi-java-legacy/tree/master/src/test/java/org/owasp/esapi）的测试。
• 旧版本的维基（https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API）
• 邮件列表存档（http://lists.owasp.org/pipermail/esapi-dev/）

新版本的README宣布了新的内容：

  

2014年9月2日 - 我们正准备在本月在丹佛的AppSecUSA上完成一些精彩的工作。我们将宣布我们的日程安排以及我们即将参加会议的地点！请继续关注！

也许文档有一天会到达......

Answer 2

如果您想学习使用ESAPI进行安全编程，请查看ESAPI秋千集：https://www.owasp.org/index.php/ESAPI_Swingset

然而，正如superbob指出的那样，你可能不应该在新的生产应用程序中使用它。