shoucheng3/esapi__esapi-java-legacy_cve-2022-24891_2-2-3-1Bibliothèque OWASP Enterprise Security API fournissant des contrôles de sécurité pour les applications web Java, incluant l'authentification, le contrôle d'accès, la validation des entrées, le chiffrement et l'encodage pour réduire le risque de vulnérabilité.
| OWASP® ESAPI (The OWASP Enterprise Security API) est une bibliothèque gratuite et open source de contrôle de sécurité pour applications web, qui facilite l'écriture d'applications à moindre risque par les développeurs. La bibliothèque ESAPI pour Java est conçue pour permettre aux développeurs d'intégrer plus facilement la sécurité dans les applications existantes. ESAPI pour Java constitue également une base solide pour les nouveaux développements. |
Vous pouvez trouver les pages wiki d'OWASP ESAPI à https://owasp.org/www-project-enterprise-security-api/. Le dépôt GitHub legacy d'ESAPI contient également quelques pages wiki utiles.
Ceci est la branche legacy d'ESAPI, ce qui signifie qu'il s'agit d'une branche activement maintenue du projet, mais aucun développement significatif de *nouvelles* fonctionnalités ne sera effectué pour cette branche. Les fonctionnalités déjà planifiées pour la branche 2.x seront développées. Vous trouverez ce dépôt GitHub à [https://github.com/ESAPI/esapi-java-legacy](https://github.com/ESAPI/esapi-java-legacy).
NOTES IMPORTANTES : La branche par défaut pour ESAPI legacy est désormais la branche 'develop' (plutôt que la branche 'main' (anciennement 'master')), où les développements futurs, corrections de bugs, etc. seront effectués. La branche 'main' est désormais marquée comme « protégée » ; elle reflète la dernière version stable d'ESAPI (2.1.0.1 à ce jour). Notez que ce changement de la branche 'develop' comme branche par défaut peut affecter les pull requests que vous souhaitiez soumettre.
De plus, la version Java de base minimale pour utiliser ESAPI est Java 7. (Cela a été modifié à partir de Java 6 lors de la version 2.2.0.0.)
https://github.com/ESAPI/esapi-java
Notez cependant que le travail sur ESAPI 3 n'a pas encore commencé sérieusement et n'en est qu'aux premiers stades de planification. Même le code actuellement présent changera probablement.
Les notes de version d'ESAPI se trouvent dans le répertoire 'documentation' d'ESAPI. Elles sont généralement nommées 'esapi4java-core-2.#.#.#-release-notes.txt', où '2.#.#.#' fait référence au numéro de version d'ESAPI (qui utilise la gestion sémantique de version).
À partir d'ESAPI 2.2.3.0, ESAPI utilise une version d'AntiSamy qui inclut par défaut 'slf4j-simple' et effectue une validation de schéma XML sur les fichiers de politique AntiSamy. Veuillez LIRE les notes de version de la version 2.2.3.0 (au moins le début) pour des notes importantes qui affecteront probablement votre utilisation d'ESAPI ! Vous avez été prévenu !!!
La dernière version d'ESAPI est la 2.2.3.0. Le jar de configuration par défaut et sa signature GPG se trouvent respectivement à esapi-2.2.3.0-configuration.jar et esapi-2.2.3.0-configuration.jar.asc.
Les jars ESAPI réguliers les plus récents sont disponibles sur Maven Central.
Cependant, avant de commencer un nouveau projet utilisant ESAPI, assurez-vous de lire « Devrais-je utiliser ESAPI ? ».
Sauf erreur involontaire de notre part, notre intention est de conserver les classes, méthodes et/ou champs qui ont été annotés comme "@deprecated" pendant un minimum de deux (2) ans ou jusqu'au prochain numéro de version majeure (par exemple, 3.x actuellement), selon la première échéance, avant de les supprimer. Notez que cette politique ne s'applique pas aux classes du package org.owasp.esapi.reference. Vous n'êtes pas censé utiliser ces classes directement dans votre code.
Forkez et soumettez une pull request ! Simple comme bonjour ! Nous n'acceptons généralement que les corrections de bugs, pas les nouvelles fonctionnalités, car en tant que projet legacy, nous n'avons pas l'intention d'ajouter de nouvelles fonctionnalités, même si nous pouvons faire des exceptions. Si vous souhaitez proposer une nouvelle fonctionnalité, le meilleur endroit pour en discuter est la liste de diffusion ESAPI-DEV mentionnée ci-dessous. Notez que nous examinons toutes les pull requests, y compris le style de codage des contributions ; utilisez le même style de codage que celui des fichiers que vous modifiez déjà.
Si vous débutez avec ESAPI, un bon point de départ est de rechercher les problèmes GitHub étiquetés comme 'good first issue'. (Par exemple, pour trouver tous les problèmes ouverts avec cette étiquette, utilisez https://github.com/ESAPI/esapi-java-legacy/issues?q=is%3Aissue+is%3Aopen+label%3A%22good+first+issue%22.)
Vous trouverez des détails supplémentaires dans le fichier 'CONTRIBUTING-TO-ESAPI.txt'.
À la mi-2014, ESAPI a migré tout son code vers GitHub. Cette migration a été achevée en novembre 2014.
Tous les problèmes de Google Code ont été migrés vers les problèmes GitHub. Nous disposons d'une instance JIRA/Confluence qui nous est allouée, mais elle n'a pas été configurée pour se synchroniser avec les problèmes GitHub, et ne doit donc pas être utilisée. JIRA est bien, mais si nous ne pouvons pas le synchroniser avec les problèmes GitHub (qui est l'endroit où la majorité de nos utilisateurs signalent les problèmes), ce n'est pas utilisable. En tant que développeurs, nous ne voulons pas passer du temps à devoir fermer des problèmes provenant de multiples sites de suivi de bugs. Par conséquent, jusqu'à ce que cette synchronisation ait lieu (voir le problème GitHub #371), veuillez utiliser UNIQUEMENT GitHub pour signaler les bugs.
Lorsque vous signalez un problème, veuillez être clair et essayer de vous assurer que l'équipe de développement d'ESAPI dispose d'informations suffisantes pour reproduire vos résultats. Si vous ne l'avez pas déjà fait, c'est peut-être le bon moment pour lire le classique d'Eric S. Raymond « Comment poser les questions de manière intelligente », à http://www.catb.org/esr/faqs/smart-questions.html avant de poster votre problème.
Si vous avez trouvé un bug, créez un problème sur le dépôt esapi-legacy-java : https://github.com/ESAPI/esapi-java-legacy/issues
