Недавно мне было поручено возглавить усилия по улучшению нашей проверки ввода (и вывода) с учетом рекомендаций OWASP и соответствия PCI. В процессе я пытаюсь оценить ценность проекта ESAPI.NET, который, по-видимому, не видел никакой активности с весны 2009 года и в его нынешнем виде неполон.
Есть ли у кого-нибудь опыт использования или расширения ESAPI.NET v0.2? Является ли сегодня хорошей отправной точкой для создания инфраструктуры для устранения целевых уязвимостей?
К вашему сведению: я смотрю на MS AntiXSS, который, конечно, затрагивает лишь часть области действия ESAPI. Мы уже проделали хорошую работу с SQL-инъекцией, хотя есть улучшения, которые мы должны сделать.
(Если кто-то хочет создать тег ESAPI, не стесняйтесь. У меня нет моджо.)