Java 安全与 ESAPI

Question

我是一名 Java 开发人员，正朝着通往应用安全的道路前进，我偶然发现了 OWASP 组织及其配套的 Java API，即 ESAPI。

在我几个月前在此网站上提出的另一个问题中，有人向我指出 ESAPI 是开源应用程序安全行业的主要参与者。

我现在想知道的是，我确定 ESAPI 在身份验证/授权方面与内置 Java 安全模型(根于 javax.security.auth)重叠，并且也许在其他领域。 但是，如果严格坚持使用 Java 安全 API，是否存在 ESAPI 明确解决的应用安全领域无法实现的问题？

基本上，我想问的是，如果一些现有的 Java API 已经涵盖了 ESAPI 的所有优点/特性，那么学习 ESAPI 对我来说是否有意义。提前致谢!

Answer 1

据我所知，ESAPI 也使用 java API 并添加了特定于现实世界威胁的包装器。例如 WAF(Web 应用程序防火墙)，要使用 Java API 实现这一点，您将结束编写大量代码，这些代码由 ESAPI 完成并很好地包装为 API，因此，现在如果您想进行 WAF 检查，您可以只需调用几个方法即可实现它。

简单来说，ESAPI 类似于包装库(内置 java API)，可减少重复造轮子的工作，有助于应对现实世界的安全威胁。

如果你看到这个ESAPI API URL，您可以轻松识别 ESAPI 如何开发 API 来应对每种可能的威胁。