coverity security library

Библиотека безопасности обложки

Библиотека безопасности Coverity (CSL) представляет собой легкий набор подпрограмм сэкспрессии для исправления сценариев поперечного сайта (XSS), инъекции SQL и других дефектов безопасности в веб-приложениях Java.

Вот почему стоит проверить:

• Это безопасно: мы серьезно относимся к безопасности CSL. Каждое изменение тщательно тщательно изучено с помощью процесса, который включает в себя обзор ручного кода, статический анализ, тестирование пузырьков и модульное тестирование.

• Это удобно: CSL содержит Escapers для XSS и SQL -инъекции, которые отсутствуют в стандартных библиотеках, таких как Apache Commons и Java EE. Мы используем быстрые, простые в вызове статических методов с короткими, интуитивно понятными именами. Мы также предоставляем крючки для языка выражения (EL), чтобы облегчить его использованию в JSP.

• Он маленький: CSL не имеет внешних зависимостей и является минималистской библиотекой. Это означает, что он быстр и не требует какой -либо конфигурации, кроме того, чтобы сбросить банку в правильном месте или изменить свою сборку для этого.

• Это бесплатно: CSL распространяется по лицензии в стиле BSD. Мы будем признательны за патчи, которые были отправлены нам обратно, но это не требуется.

Пользователи консультанта по безопасности Coverity получают руководство по исправлению положения на основе подпрограммы выхода в CSL. Тем не менее, CSL является автономным проектом без зависимостей от консультанта по безопасности.

Побег

Класс Escape содержит несколько эскаперов для веб -контента. Эти функции выхода помогают исправить общие дефекты (в основном поперечные сценарии), которые возникают, когда данные вставлены в HTML-элемент, значения атрибутов HTML, URI, строки JavaScript, SQL, как положения и т. Д.

Перед использованием какого -либо из этих методов вы должны понимать контекст (или вложенные контексты), в который вставлены данные. Несколько примеров макета с объяснением доступны в репозитории, и еще больше будет доступно в нашем блоге. Если вы хотите проверить библиотеку, чтобы понять, как она составляет атаки безопасности, наше функциональное тестирование - это правильное приложение для создания/развертывания/теста.

Готовы его использовать? Последний шаг - взглянуть на последний Javadoc непосредственно на GitHub.

Чтобы включить эту библиотеку в свой проект Maven, добавьте следующее:

< dependency >
    < groupId >com.coverity.security</ groupId >
    < artifactId >coverity-escapers</ artifactId >
    < version >1.1.1</ version >
</ dependency >

или оставьте файл JAR в каталоге WEB-INF/lib .

Затем вы можете использовать его непосредственно в своих JSP:

<%@ taglib uri = " http://coverity.com/security " prefix = " cov " %>
< script type = " text/javascript " >
    var x = ' ${ cov : jsStringEscape(param . tainted) } ' ;
</ script >
< div onclick = " alert(' ${ cov : htmlEscape(cov : jsStringEscape(param . tainted)) } ') " >
    ${ cov : htmlEscape(param . tainted) }
</ div >

или в ваших программах Java:

 import com . coverity . security . Escape ;
// ...
return "<div onclick='alert( " "
       + Escape . html ( Escape . jsString ( request . getParameter ( "tainted" )))
       + " " )'>"
       + Escape . html ( request . getParameter ( "tainted" ))
       + "</div>" ;

Чтобы связаться с SRL, пожалуйста, напишите нам по адресу [email protected]. Вилка, мы с нетерпением ждем ваших запросов на притяжение!

Лицензия

 Copyright (c) 2012-2016, Coverity, Inc.
All rights reserved.

Redistribution and use in source and binary forms, with or without modification,
are permitted provided that the following conditions are met:
- Redistributions of source code must retain the above copyright notice, this
list of conditions and the following disclaimer.
- Redistributions in binary form must reproduce the above copyright notice, this
list of conditions and the following disclaimer in the documentation and/or other
materials provided with the distribution.
- Neither the name of Coverity, Inc. nor the names of its contributors may be used
to endorse or promote products derived from this software without specific prior
written permission from Coverity, Inc.

THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY
EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES
OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND INFRINGEMENT ARE DISCLAIMED.
IN NO EVENT SHALL THE COPYRIGHT HOLDER OR  CONTRIBUTORS BE LIABLE FOR ANY DIRECT,
INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR
PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY,
WHETHER IN CONTRACT,  STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY
OF SUCH DAMAGE.