shoucheng3/esapi__esapi-java-legacy_cve-2022-23457_2-2-3-1Biblioteca Enterprise Security API que proporciona controles de seguridad para aplicaciones web Java, incluidos autenticación, control de acceso, validación de entrada, codificación de salida y operaciones criptográficas para reducir el riesgo de la aplicación.
| OWASP® ESAPI (OWASP Enterprise Security API) es una biblioteca gratuita y de código abierto de controles de seguridad para aplicaciones web que facilita a los programadores la escritura de aplicaciones de menor riesgo. La biblioteca ESAPI para Java está diseñada para facilitar a los programadores la incorporación de seguridad a aplicaciones existentes. ESAPI para Java también sirve como una base sólida para nuevos desarrollos. |
Puede encontrar las páginas wiki de OWASP ESAPI en https://owasp.org/www-project-enterprise-security-api/. El repositorio de GitHub de ESAPI legacy también tiene algunas páginas wiki útiles.
Esta es la rama legacy de ESAPI, lo que significa que es una rama del proyecto activamente mantenida; sin embargo, no se realizará un desarrollo *nuevo* significativo de funciones para esta rama. Las funciones ya programadas para la rama 2.x seguirán adelante. Encontrará ese repositorio de GitHub en [https://github.com/ESAPI/esapi-java-legacy](https://github.com/ESAPI/esapi-java-legacy).
NOTAS IMPORTANTES: La rama predeterminada para ESAPI legacy ahora es la rama 'develop' (en lugar de la rama 'main' (anteriormente 'master')), donde se realizarán ahora el desarrollo futuro, las correcciones de errores, etc. La rama 'main' ahora está marcada como "protegida"; refleja la última versión estable de ESAPI (2.1.0.1 a la fecha). Tenga en cuenta que este cambio de hacer de la rama 'develop' la predeterminada puede afectar cualquier pull request que tuviera intención de realizar.
Además, la versión mínima de Java necesaria para usar ESAPI es Java 7. (Esto cambió desde Java 6 durante el lanzamiento de la versión 2.2.0.0).
https://github.com/ESAPI/esapi-java
Tenga en cuenta, sin embargo, que el trabajo en ESAPI 3 aún no ha comenzado en serio y solo se encuentra en sus primeras etapas de planificación. Incluso el código que está actualmente ahí probablemente cambiará.
Las notas de la versión de ESAPI se pueden encontrar en el directorio "documentation" de ESAPI. Generalmente se denominan "esapi4java-core-2.#.#.#-release-notes.txt", donde "2.#.#.#" se refiere al número de versión de ESAPI (que utiliza versionado semántico).
A partir de ESAPI 2.2.3.0, ESAPI utiliza una versión de AntiSamy que por defecto incluye 'slf4j-simple' y realiza validación de esquemas XML en los archivos de políticas de AntiSamy. Por favor, LEA las notas de la versión 2.2.3.0 (al menos la parte inicial) para conocer algunas notas importantes que probablemente afectarán su uso de ESAPI. ¡Ha sido advertido!
La última versión de ESAPI es la 2.2.3.0. El jar de configuración predeterminado y su firma GPG se pueden encontrar en esapi-2.2.3.0-configuration.jar y esapi-2.2.3.0-configuration.jar.asc respectivamente.
Los jars normales más recientes de ESAPI están disponibles en Maven Central.
Sin embargo, antes de comenzar un proyecto nuevo usando ESAPI, asegúrese de leer "¿Debería usar ESAPI?".
A menos que cometamos un error sin querer, nuestra intención es mantener clases, métodos y/o campos que hayan sido anotados como "@deprecated" durante un mínimo de dos (2) años o hasta el siguiente número de versión principal (por ejemplo, 3.x por ahora), lo que ocurra primero, antes de eliminarlos. Tenga en cuenta que esta política no aplica a las clases del paquete org.owasp.esapi.reference. No se espera que usted use dichas clases directamente en su código.
¡Haga un fork y envíe un pull request! ¡Así de fácil! Generalmente solo aceptamos correcciones de errores, no nuevas funciones, porque como proyecto legacy no tenemos la intención de agregar nuevas funciones, aunque podemos hacer excepciones. Si desea proponer una nueva función, el mejor lugar para discutirla es la lista de correo ESAPI-DEV mencionada abajo. Tenga en cuenta que revisamos todos los pull requests, incluido el estilo de codificación de cualquier contribución; use el mismo estilo de codificación que se encuentra en los archivos que ya está editando.
Si es nuevo en ESAPI, un buen punto de partida es buscar problemas de GitHub etiquetados como 'good first issue'. (Por ejemplo, para encontrar todos los problemas abiertos con esa etiqueta, use https://github.com/ESAPI/esapi-java-legacy/issues?q=is%3Aissue+is%3Aopen+label%3A%22good+first+issue%22.)
Puede encontrar detalles adicionales en el archivo 'CONTRIBUTING-TO-ESAPI.txt'.
A mediados de 2014, ESAPI migró todo el código a GitHub. Esta migración se completó en noviembre de 2014.
Todos los problemas de Google Code se han migrado a los problemas de GitHub. Tenemos una instancia de JIRA/Confluence asignada, pero no ha sido configurada para sincronizarse con los problemas de GitHub y, por lo tanto, no debería usarse. JIRA está bien, pero si no podemos tenerla sincronizada con los problemas de GitHub (que es donde la mayoría de nuestros usuarios reportan problemas), no es utilizable. Como desarrolladores, no queremos perder tiempo cerrando problemas de múltiples sitios de seguimiento de errores. Por lo tanto, hasta que ocurra esta sincronización (consulte el problema #371 de GitHub), use SOLO GitHub para reportar errores.
Al reportar un problema, sea claro e intente asegurarse de que el equipo de desarrollo de ESAPI tenga suficiente información para poder reproducir sus resultados. Si aún no lo ha hecho, este podría ser un buen momento para leer el clásico de Eric S. Raymond "Cómo hacer preguntas de manera inteligente", en http://www.catb.org/esr/faqs/smart-questions.html antes de publicar su problema.
Si ha encontrado un error, cree un problema en el repositorio esapi-legacy-java: https://github.com/ESAPI/esapi-java-legacy/issues
NOTA: Por favor, NO use los problemas de GitHub para hacer preguntas sobre ESAPI. Si desea hacerlo, publique en cualquiera de las 2 listas de correo (ahora en Google Groups) que se encuentran al final de esta página. Si encontramos preguntas como problemas de GitHub, simplemente las cerraremos y le indicaremos que lo haga de todos modos.
