Est-ce que ESAPI.NET est un projet mort?

Question

J'ai récemment été chargé de diriger un effort pour améliorer notre validation d'entrée (et de sortie) avec les recommandations OWASP et la conformité PCI en tête. Dans le cadre de ce processus, j'essaie d'évaluer la valeur du projet ESAPI.NET qui ne semble avoir connu aucune activité depuis le printemps 2009 et qui, en l'état, est incomplet.

Est-ce que quelqu'un a déjà utilisé ou étendu ESAPI.NET v0.2? Est-ce un bon point de départ aujourd'hui pour construire une infrastructure pour traiter les vulnérabilités ciblées?

FYI: Je regarde MS AntiXSS qui, bien sûr, n'aborde qu'une partie de la portée d'ESAPI. Nous faisons déjà du bon travail avec l'injection SQL bien qu'il y ait des améliorations à apporter.

(.. Si quelqu'un veut créer une balise ESAPI, ne hésitez pas, je n'ai pas le mojo)

Answer 1

On dirait qu'il y avait deux met à jour la semaine dernière: http://code.google.com/p/owasp-esapi-dotnet/source/list

Vous pouvez contacter l'un des le projet mène sur cette liste pour demander ce qui se passe.

---

REMARQUE: 26/05/2012: la dernière mise à jour sur ce projet était le 4 décembre 2010. Oui, il est mort.

Answer 2

Il semble que ESAPI soit une période morte. Il n'y a personne qui l'utilise, il n'y a pas de questions, pas de forums, pas d'informations, rien. Les listes de diffusion (qu'est-ce que c'est, 1996?) Sont stériles aussi. La documentation est terrible et les échantillons dans le swingset ne fonctionnent pas (le serveur qui installe est HTTP non HTTPS, et aucune transaction ne peut être faite en mode HTTP).

Semble être un projet sans issue.

Answer 3

Le projet lui-même semble mort il y a cependant certaines personnes qui maintiennent une copie github avec plusieurs (mineur?) Additions ...

https://github.com/haldiggs/owasp-esapi-dotnet

https://github.com/jstemerdink/owasp-esapi-dotnet