NetCoreApplicationTemplate

Projekte, die den nachfolgenden Best Practices folgen, können sich freiwillig selbst zertifizieren und zeigen, dass sie einen Core-Infrastruktur-Initiative-/OpenSSF-Badge erhalten haben.

Es gibt keine Auswahl an Praktiken, die garantieren können, dass Software niemals Fehler oder Schwachstellen hat. Selbst formale Methoden können fehlschlagen, wenn die Spezifikationen oder Annahmen falsch sind. Auch gibt es keine Auswahl an Praktiken, die garantieren können, dass ein Projekt eine gesunde und gut funktionierende Entwicklungsgemeinschaft erhalten wird. Allerdings können Best Practices dabei helfen, die Ergebnisse von Projekten zu verbessern. Zum Beispiel ermöglichen einige Praktiken die Mehrpersonen-Überprüfung vor der Freigabe, die sowohl helfen können ansonsten schwer zu findende technische Schwachstellen zu finden und gleichzeitig dazu beitragen Vertrauen und den Wunsch nach wiederholter Zusammenarbeit zwischen Entwicklern verschiedener Unternehmen zu schaffen. Um ein Badge zu verdienen, müssen alle MÜSSEN und MÜSSEN NICHT Kriterien erfüllt sein, alle SOLLTEN Kriterien müssen erfüllt sein oder eine Rechtfertigung enthalten, und alle EMPFHOLEN Kriterien müssen erfüllt sein oder nicht (wir wollen sie zumindest berücksichtigt wissen). Wenn lediglich ein allgemeiner Kommentar angebeben werden soll, keine direkte Begründung, dann ist das erlaubt, wenn der Text mit "//" und einem Leerzeichen beginnt. Feedback ist willkommen auf derGitHub-Website als Issue oder Pull-Request. Es gibt auch eine E-Mail-Liste für allgemeine Diskussionen.

Wir stellen Ihnen gerne die Informationen in mehreren Sprachen zur Verfügung, allerdings ist die englische Version maßgeblich, insbesondere wenn es Konflikte oder Inkonsistenzen zwischen den Übersetzungen gibt.
Wenn dies Ihr Projekt ist, zeigen Sie bitte Ihren Badge-Status auf Ihrer Projektseite! Der Badge-Status sieht so aus: Badge-Level für Projekt 13645 ist passing So können Sie ihn einbetten:
Sie können Ihren Badge-Status anzeigen, indem Sie Folgendes in Ihre Markdown-Datei einbetten:
[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/13645/badge)](https://www.bestpractices.dev/projects/13645)
oder indem Sie Folgendes in Ihr HTML einbetten:
<a href="https://www.bestpractices.dev/projects/13645"><img src="https://www.bestpractices.dev/projects/13645/badge"></a>


Dies sind die Kriterien das Level Passing. Sie können auch die Kriterien für die Level Silber oder Gold sehen.

Baseline Series: Baseline Niveau 1 Baseline Niveau 2 Baseline Niveau 3

        

 Grundlagen 13/13 ●

  • Allgemein

    Hinweis: Andere Projekte können den selben Namen benutzen.

    Reusable ASP.NET Core application template for secure, maintainable, production-ready .NET applications.

    Bitte verwenden Sie das SPDX-License-Expression-Format; Beispiele sind "Apache-2.0", "BSD-2-Clause", "BSD-3-Clause", "GPL-2.0+", "LGPL-3.0+", "MIT" und "(BSD-2-Clause OR Ruby)". Geben sie nicht die einfachen oder doppelten Anführungszeichen mit an.
    Wenn es mehr als eine Programmiersprache gibt, listen Sie sie als kommagetrennte Werte (Leerzeichen sind optional) auf und sortieren Sie sie von am häufigsten zum am wenigsten verwendeten. Wenn es eine lange Liste gibt, bitte mindestens die ersten drei häufigsten auflisten. Wenn es keine Programmiersprache gibt (z. B. ist dies nur ein Dokumentations- oder Testprojekt), verwenden Sie das einzelne Zeichen "-". Bitte verwenden Sie eine herkömmliche Großschreibung für jede Sprache, z.B. "JavaScript".
    Das Common Platform Enumeration (CPE) ist ein strukturiertes Namensschema für IT-Systeme, Software und Pakete. Es wird in diversen Systemen und Datenbanken bei der Meldung von Schwachstellen verwendet.

  • Grundlegende Informationen auf der Projektwebseite


    Genug für ein Badge!

    Die Projekt-Website MUSS prägnant beschreiben, was die Software tut (welches Problem löst sie?). [description_good]
    Dies MUSS in einer Sprache sein, die potenzielle Nutzer verstehen können (z. B. möglichst wenig Fachbegriffe verwenden).

    The project README succinctly describes NetCoreApplicationTemplate as a reusable, production-oriented ASP.NET Core application template and identifies the security, authentication and authorization, observability, data access, health-check, error-handling, and CI capabilities that it provides.

    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#net-core-application-template


    Genug für ein Badge!

    Die Projekt-Website MUSS Informationen darüber enthalten, wie Feedback erhalten und gegeben werden kann (als Fehlerberichte oder Verbesserungsvorschläge), und wie man zur Softwareentwicklung beitragen kann. [interact]

    The project provides source-cloning, build, Docker, NuGet installation, and dotnet new usage instructions in the README. SUPPORT.md directs users to GitHub Issues for bugs, documentation problems, packaging issues, and enhancement requests, and directs private vulnerability reports to SECURITY.md. CONTRIBUTING.md documents the issue, branch, pull-request, validation, and contribution process.

    Obtain:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#quick-start-from-source
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#install-and-use-the-template-package

    Feedback:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SUPPORT.md#support-channels
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Contribute:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md


    Genug für ein Badge!

    Die Informationen darüber, wie jemand beitragen kann, MÜSSEN den Prozess erklären (z.B. wie werden Pull-Requests verwendet?) (URL erforderlich) [contribution]
    Wir nehmen an, dass Projekte auf GitHub Issues und Pull-Requests verwenden, sofern nichts anders angegeben ist. Diese Information kann kurz sein, z. B., dass das Projekt Pull-Requests, einen Issue-Tracker oder eine Mailing-Liste verwendet (welche?)

    CONTRIBUTING.md documents the contribution process, including issue workflow, branch naming, commit messages, pull-request expectations, validation requirements, documentation expectations, security considerations, and maintainer review.

    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md


    Genug für ein Badge!

    Die Informationen darüber, wie jemand beitragen können, SOLLTEN die Anforderungen für akzeptable Beiträge (z. B. einen Hinweis auf jeden erforderlichen Programmierstandard) enthalten. (URL erforderlich) [contribution_requirements]

    CONTRIBUTING.md defines the requirements for acceptable contributions, including focused scope, secure-by-default behavior, maintainable configuration, test coverage, documentation updates, successful build and test validation, and formatting verification with dotnet format --verify-no-changes. The repository .editorconfig defines the applicable formatting, naming, code-quality, reliability, security, performance, and usage analyzer rules.

    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md#validation-expectations
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.editorconfig


  • FLOSS-Lizenz


    Genug für ein Badge!

    Die vom Projekt entwickelte Software MUSS als FLOSS lizensiert veröffentlicht sein. [floss_license]
    FLOSS-Software erfüllt die Open Source Definition oder die Free Software Definition. Beispiele für solche Lizenzen sind die CC0 , MIT, BSD 2-clause, BSD 3-clause revised, Apache 2.0 , Lesser GNU General Public License (LGPL) und die GNU General Public License (GPL) . Für unsere Zwecke bedeutet dies, dass die Lizenz: Die Software kann auch über andere Wege lizenziert werden (z.B. "GPLv2 oder proprietär" ist akzeptabel).

    NetCoreApplicationTemplate is released under the MIT License, which grants permission to use, copy, modify, merge, publish, distribute, sublicense, and sell copies of the software.

    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/LICENSE.txt


    Genug für ein Badge!

    Es wird EMPFHOLEN, dass alle erforderlichen Lizenz(en) für die vom Projekt entwickelte Software von der Open Source Initiative (OSI) anerkannt werden. [floss_license_osi]
    Die OSI verwendet einen anspruchsvollen Genehmigungsprozess, um festzulegen, welche Lizenzen OSS sind.

    NetCoreApplicationTemplate uses the MIT License, an Open Source Initiative-approved license.

    Project license:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/LICENSE.txt

    OSI license information:
    https://opensource.org/license/mit


    Genug für ein Badge!

    Das Projekt MUSS die Lizenz(en) seiner Erzeugnisse an einem üblichen Ort in ihrem Quell-Repository veröffentlichen. (URL erforderlich) [license_location]
    Eine Konvention ist es die Lizenz als eine Top-Level-Datei mit der Bezeichnung LICENSE oder COPYING zu veröffentlichen. Lizenzdateinamen DÜRFEN eine Erweiterung wie ".txt" oder ".md" haben. Eine alternative Konvention ist es einen Ordern mit dem namen LICENSES zu erstellen und dort alle Lizenz(en) abzuspeicehrn; diese dateien sind typischerweise mit ihreren SPDX License Identifier benannt und einer passendend Dateiendung; siehe Beschreibung dieser Konvention in der REUSE Specification. Beachten Sie, dass dieses Kriterium nur eine Voraussetzung für das Quell-Repository ist. Sie müssen die Lizenzdatei NICHT hinzufügen, wenn Sie etwas aus dem Quellcode generieren (z. B. eine ausführbare Datei, ein Paket oder einen Container). Wenn Sie beispielsweise ein R-Paket für das Comprehensive R Archive Network (CRAN) generieren, befolgen Sie die Standard-CRAN-Praxis: Wenn die Lizenz eine Standardlizenz ist, verwenden Sie die Standard-Kurzlizenzspezifikation (um die Installation einer weiteren Kopie des Textes zu vermeiden) die LICENSE-Datei in einer Ausschlussdatei wie .Rbuildignore. Ebenso können Sie beim Erstellen eines Debian-Pakets einen Link in die Copyright-Datei zum Lizenztext in /usr/share/common-licenses einfügen und die Lizenzdatei vom erstellten Paket ausschließen (z.B. durch Löschen der Datei nach dem Aufruf von dh_auto_install). Wir empfehlen, maschinenlesbare Lizenzinformationen in generierten Formaten zu integrieren, wo dies praktisch ist.

    The complete MIT License is stored in LICENSE.txt at the root of the source repository, a standard license-file location.

    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/LICENSE.txt


  • Dokumentation


    Genug für ein Badge!

    Das Projekt MUSS eine grundlegende Dokumentation für die vom Projekt entwickelte Software liefern. [documentation_basics]
    Diese Dokumentation muss in irgendeinem Medium sein (z.B. Text oder Video), das Folgendes beinhaltet: wie man die Software installiert, wie man sie startet, wie man sie benutzt (evtl. ein Tutorial mit Beispielen) und wie man sie sicher benutzt (z. B. was zu tun und zu lassen ist), wenn das ein passendes Einsatzgebiet für die Software ist. Die Sicherheitsdokumentation muss nicht lange sein. Das Projekt DARF Hypertext-Links zu Nicht-Projekt-Materialien als Dokumentation verwenden. Wenn das Projekt keine Software entwickelt, wählen Sie "nicht anwendbar" (N/A) aus.

    The project provides a README with installation, build, testing, Docker, package installation, template-generation, configuration, security, and usage guidance. It also publishes a structured DocFX documentation site covering setup, deployment, middleware, authentication, authorization, data access, API versioning, observability, health checks, and template packaging.

    README:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md

    Published documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/


    Genug für ein Badge!

    Das Projekt MUSS Referenzdokumentationen enthalten, die externe Schnittstellen (beides, Eingabe und Ausgabe) der vom Projekt entwickelten Software beschreiben. [documentation_interface]
    Die Dokumentation einer externen Schnittstelle erklärt einem Endbenutzer oder Entwickler, wie man sie benutzt. Dies beinhaltet auch eine Programmierschnittstelle (API), falls die Software eine hat. Wenn es sich um eine Bibliothek handelt, dokumentieren Sie die wichtigsten Klassen/Typen und Methoden/Funktionen, die aufgerufen werden können. Wenn es sich um eine Webanwendung handelt, definieren Sie ihre URL-Schnittstelle (häufig eine REST-Schnittstelle). Wenn es sich um eine Befehlszeilenschnittstelle handelt, dokumentieren Sie die Parameter und Optionen, die sie unterstützt. In vielen Fällen ist es am besten, wenn die meisten dieser Dokumente automatisch generiert werden, so dass diese Dokumentation mit der sich ändernden Software synchronisiert bleibt, aber dies ist nicht erforderlich. Das Projekt DARF Hypertext-Links zu Nicht-Projekt-Materialien als Dokumentation verwenden. Dokumentation DARF automatisch generiert werden (falls möglich ist dies oft der beste Weg). Die Dokumentation einer REST-Schnittstelle kann mit Swagger/OpenAPI erzeugt werden. Code-Interface-Dokumentation kann mit Werkzeugen wie JSDoc (JavaScript), ESDoc (JavaScript), pydoc (Python), devtools (R), pkgdown (R) und Doxygen (verschiedene) generiert werden. Nur Kommentare im Quelltext reicht nicht aus, um dieses Kriterium zu erfüllen; Es muss einen einfacheren Weg geben, um die Informationen zu sehen, ohne den ganzen Quellcode durchzulesen. Wenn das Projekt keine Software entwickelt, wählen Sie "nicht anwendbar" (N/A) aus.

    The project publishes generated DocFX API reference documentation for its public .NET types and members, including parameters, return types, and XML documentation. It also documents the consumer-facing template options, configuration sections, generated artifacts, routes, endpoint conventions, request versioning inputs, and response-version behavior.

    API reference:
    https://cdcavell.github.io/NetCoreApplicationTemplate/api/

    Public compatibility surface:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/public-surface-v1.html

    API versioning and request interface:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/api-versioning.html


  • Andere


    Genug für ein Badge!

    Die Projekt-Seiten (Website, Repository und Download-URLs) MÜSSEN HTTPS mit TLS unterstützen. [sites_https]
    Dies setzt voraus, dass die Projekt-Homepage-URL und die URL des Versionskontroll-Repositories mit "https:", nicht "http:" beginnt. Sie können kostenlose Zertifikate von Let's Encrypt erhalten. Projekte KÖNNEN dieses Kriterium implementieren, indem Sie (z. B.) GitHub-Pages verwenden, GitLab-Pages oder SourceForge project pages. Wenn Sie HTTP unterstützen, empfehlen wir Ihnen, den HTTP-Datenverkehr an HTTPS umzuleiten.

    The project repository, published documentation, package distribution, release artifacts, and issue-tracking URLs are all provided over HTTPS.

    Repository:
    https://github.com/cdcavell/NetCoreApplicationTemplate

    Documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/

    NuGet:
    https://www.nuget.org/packages/NetCoreApplicationTemplate

    Releases:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases


    Genug für ein Badge!

    Das Projekt MUSS einen oder mehrere Mechanismen zur Diskussion (einschließlich der vorgeschlagenen Änderungen und Issues) haben, die durchsuchbar sind, bei denen Nachrichten und Themen durch URL adressiert werden, neue Personen an einigen der Diskussionen teilnehmen können und keine lokale Installation von proprietärer Software erfordern. [discussion]
    Beispiele für akzeptable Mechanismen umfassen archivierte Mailingliste(n), GitHub Issues und Pull-Request-Diskussionen, Bugzilla, Mantis und Trac. Asynchrone Diskussionsmechanismen (wie IRC) sind akzeptabel, wenn sie diese Kriterien erfüllen; Stellen Sie sicher, dass es einen URL-adressierbaren Archivierungsmechanismus gibt. Proprietäres JavaScript ist ungern gesehen, aber erlaubt.

    The project uses GitHub Issues and Pull Requests for searchable, URL-addressable public discussion of defects, enhancements, proposed changes, and code contributions. New participants may open issues, submit pull requests, and comment through GitHub's web interface.

    Issues:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Pull requests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/pulls

    Support policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SUPPORT.md


    Genug für ein Badge!

    Das Projekt SOLLTE Dokumentationen in englischer Sprache zur Verfügung stellen und in der Lage sein, Fehlerberichte und Kommentare zum Code in Englisch zu akzeptieren. [english]
    Englisch ist derzeit die Lingua Franca der Computertechnik; Wenn Englisch unterstützt wird, erhöht das die Anzahl der verschiedenen potenziellen Entwickler und Reviewer weltweit. Ein Projekt kann dieses Kriterium auch dann erfüllen, wenn die Hauptsprache der Kernentwickler nicht Englisch ist.

    The project README, published documentation, contribution guide, support policy, security policy, source comments, issue templates, and pull-request workflow are written in English. The project accepts bug reports, feature requests, pull requests, and code-review comments in English through GitHub.

    Documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/

    Contributing:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md

    Support:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SUPPORT.md


    Genug für ein Badge!

    Das Projekt MUSS gepflegt werden. [maintained]
    Als Minimum sollte das Projekt versuchen, auf wichtige Problem- und Schwachstellenberichte zu reagieren. Ein Projekt, das aktiv ein Badge anstrebt, wird wahrscheinlich gepflegt. Alle Projekte und Menschen haben begrenzte Ressourcen, und typische Projekte müssen einige vorgeschlagene Änderungen ablehnen, daher deuten begrenzte Ressourcen und Ablehnungen von Vorschlägen allein nicht auf ein ungepflegtes Projekt hin.

    Wenn ein Projekt weiß, dass es nicht mehr gepflegt wird, sollte es dieses Kriterium auf "Unerfüllt" setzen und die entsprechenden Mechanismen verwenden, um anderen anzuzeigen, dass es nicht gepflegt wird. Verwenden Sie zum Beispiel "DEPRECATED" als erste Überschrift seiner README, fügen Sie "DEPRECATED" am Anfang seiner Homepage hinzu, fügen Sie "DEPRECATED" am Anfang der Projektbeschreibung seines Code-Repositorys hinzu, fügen Sie ein no-maintenance-intended Badge in seiner README und/oder Homepage hinzu, markieren Sie es als veraltet in allen Paket-Repositories (z. B. npm deprecate) und/oder verwenden Sie das Markierungssystem des Code-Repositorys, um es zu archivieren (z. B. GitHubs "archive"-Einstellung, GitLabs "archived"-Markierung, Gerrits "readonly"-Status oder SourceForges "abandoned"-Projektstatus). Weitere Diskussionen finden Sie hier.

    NetCoreApplicationTemplate is actively maintained. The repository receives ongoing code, security, testing, documentation, workflow, and dependency updates. It has a current stable release, automated CI and security analysis, documented support expectations, and an active issue and pull-request workflow.

    Repository activity:
    https://github.com/cdcavell/NetCoreApplicationTemplate/commits/main/

    Releases:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases

    Support policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SUPPORT.md


 Verbesserungs-/Nacharbeits-Kontrolle 9/9 ●

  • Öffentliches Versionskontroll-Source-Repository


    Genug für ein Badge!

    Das Projekt MUSS ein versiongesteuertes Quell-Repository haben, das öffentlich lesbar ist und eine URL hat. [repo_public]
    Die URL KANN die gleiche wie die Projekt-URL sein. Das Projekt KANN in bestimmten Fällen private (nichtöffentliche) Zweige verwenden, während die Änderung nicht öffentlich freigegeben wird (z. B. für die Behebung einer Sicherheitslücke, bevor sie veröffentlicht wird).

    The complete project source is maintained in a publicly readable GitHub repository using Git version control.

    Repository:
    https://github.com/cdcavell/NetCoreApplicationTemplate


    Genug für ein Badge!

    Das Quell-Repository des Projekts MUSS verfolgen, welche Änderungen vorgenommen wurden, wer die Änderungen vorgenommen hat und wann die Änderungen vorgenommen wurden. [repo_track]

    The project uses Git and GitHub. Its public commit history records each change, the contributor who authored or committed it, and the date and time it was made.

    Commit history:
    https://github.com/cdcavell/NetCoreApplicationTemplate/commits/main/


    Genug für ein Badge!

    Um eine kollaborative Überprüfung zu ermöglichen, MUSS das Quell-Repository des Projekts Zwischenversionen für die Überprüfung zwischen Releases enthalten. Es DARF NICHT nur endgültige Veröffentlichungen enthalten. [repo_interim]
    Projekte DÜRFEN sich entscheiden, bestimmte Zwischenversionen aus ihren öffentlichen Quell-Repositories auszulassen (z.B. diejenigen, die bestimmte nicht-öffentliche Sicherheitslücken beheben, niemals öffentlich freigegeben werden können, oder Material enthalten, das nicht legal veröffentlicht werden kann und nicht in der endgültigen Version enthalten ist).

    The public repository contains ongoing development commits, branches, and pull requests between formal releases. These interim versions are available for review and are not limited to final release snapshots.

    Commit history:
    https://github.com/cdcavell/NetCoreApplicationTemplate/commits/main/

    Pull requests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/pulls

    Releases:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases


    Genug für ein Badge!

    Es ist EMPFOHLEN, dass eine gemeinsame genutzte Versionskontrollsoftware (z.B. git oder mercurial) für das Source-Repository des Projekts verwendet wird. [repo_distributed]
    Git ist nicht speziell gefordert und Projekte können andere zentralisierte Versionskontrollsoftware (wie z. B. Subversion) mit Rechtfertigung verwenden.

    Repository on GitHub, which uses git. git is distributed.


  • Einzigartige Versionsnummerierung


    Genug für ein Badge!

    Die für Endbenutzer vorgesehenen Projektergebnisse MÜSSEN eine eindeutige Versionskennung für jede Freigabe haben. [version_unique]
    Dies DARF durch einer Vielzahl von Möglichkeiten, einschließlich einer Commit-IDs (wie z. B. gits Commit-ID oder mercurials Changeset-ID) oder eine Versionsnummer, (einschließlich Versionsnummern, die semantische oder datumsbasierte Systeme wie YYYYMMDD verwenden) erfüllt werden.

    Each user-facing release has a unique version identifier. Version metadata is managed centrally for assemblies, NuGet packages, template packages, documentation, and GitHub releases.

    Current release:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases/tag/v2.3.1

    Release history:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases


    Genug für ein Badge!

    Es ist EMPFHOLEN, dass ein Semantic Versioning (SemVer) oder Calendar Versioning (CalVer) Versionsnummerierungsformat für Releases verwendet wird. Es ist EMPFHOLEN, dass Anwender des CalVer Formates auch die Micro Ebene mit angeben. [version_semver]
    Andere Versionsnummerierungsschemata, wie z. B. Commit-IDs (wie z. B. gits Commit-ID oder mercurials Changeset-ID) oder datumsbasierte Schemata wie YYYYMMDD, DÜRFEN als Versionsnummern verwendet werden, da sie eindeutig sind. Einige Alternativen können zu Problemen führen, denn die Benutzer können nicht leicht feststellen, ob sie aktuell sind. SemVer kann weniger hilfreich sein, um Software-Releases zu identifizieren, wenn alle Empfänger nur die neueste Version ausführen (z.B. ist es der Code für eine einzelne Website oder Internet-Service, der ständig durch kontinuierliche Updates aktualisiert wird).

    Genug für ein Badge!

    Es wird erwartet, dass Projekte jedes Release innerhalb ihres Versionskontrollsystems identifizieren. Zum Beispiel wird erwartet, dass die Projekte, die git verwenden, jedes Release mit git-Tags identifizieren. [version_tags]

    Each GitHub release is identified in the Git repository using a version tag following the v<major>.<minor>.<patch> convention. For example, release 2.3.1 is identified by tag v2.3.1.

    Current tagged release:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases/tag/v2.3.1

    Repository tags:
    https://github.com/cdcavell/NetCoreApplicationTemplate/tags


  • Versionshinweise


    Genug für ein Badge!

    Das Projekt MUSS zu jedem Update Releasenotes enthalten, die eine lesbare Zusammenfassung der wichtigsten Änderungen der Version sind, damit Benutzer/innen sehen können, ob sie aktualisieren sollten und was die Auswirkungen des Updades sind. Die Releasenotes DÜRFEN NICHT die Rohausgabe eines Versionskontrollprotokolls sein (z. B. die "git log"-Befehlsergebnisse sind keine Releasenotes). Für Projekte, deren Ergebnisse nicht für die Wiederverwendung an mehreren Standorten bestimmt sind (z. B. die Software für eine einzelne Website oder Dienstleistung) und eine kontinuierliche Lieferung verwenden, können Sie "N/A" auswählen. (URL erforderlich) [release_notes]
    Die Releasenotes DÜRFEN auf vielfältige Weise implementiert werden. Viele Projekte bieten sie in einer Datei namens "NEWS", "CHANGELOG" oder "ChangeLog", optional mit Erweiterungen wie ".txt", ".md" oder ".html" an. Historisch bedeutete der Begriff "Change Log" ein Protokoll, in dem jede Änderung festgehalten wird, aber um diese Kriterien zu erfüllen, benötigt es eine menschlich lesbare Zusammenfassung. Die Releasenotes können stattdessen von Versionskontrollsystemmechanismen wie dem GitHub Release Workflow zur Verfügung gestellt werden.

    Each release includes human-readable release notes in CHANGELOG.md describing added, changed, fixed, and breaking behavior, along with upgrade or migration guidance and release-impact notes where applicable. GitHub Releases also provide version-specific release records.

    Changelog:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CHANGELOG.md

    GitHub Releases:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases


    Genug für ein Badge!

    Die Releasenotes MÜSSEN jede öffentlich bekannte Laufzeit-Sicherheitslücke mit einer CVE-Zuweisung oder Ähnlichem kennzeichnen, die in der aktuellen veröffentlichten Version behoben sind. Dieses Kriterium darf als nicht anwendbar (N/A) markiert werden, wenn Benutzer typischerweise nicht selbst die Software aktualisieren. Diese Kirterium trifft nur auf die Projektergebnisse zu, nicht auf Abhängikeiten. Wenn keine Releasenotes vorhanden sind oder keine öffentlich bekannten Sicherheitslücken bekannt sind, wählen Sie (N/A). [release_notes_vulns]
    Dieses Kiterium hilft Benutzer zu verstehen ob ein Update eine bestimmte öffentlich bekannte Sicherheitslücke schließt, und zu entscheiden ob das Update eingespielt wird oder nicht. Wenn Benutzer die Software normalerweise nicht selbst auf ihren Computern aktualisieren können, sondern stattdessen auf eine/n Mittelsfrau/mann angewiesen sind, um das Upgrade durchzuführen (wie es bei einem Kernel und einer Low-Level-Software häufig der Fall ist), wählen Sie stattdessen "nicht anwendbar" (N/A), da diese zusätzliche Information für den Benutzer nicht hilfreich ist. Ein Projekt kann auch N/A auswählen wenn alle Empfänger nur die neuste Version benutzen (z. B. wenn der Code für eine einzelne Webseite oder Internetdienst ist der continuierlich mittels Contious Delivery geupdated wird). Diese Kriterium betrifft nur die Projektergenbisse, nicht seine Abhängigkeiten. Alle Sicherheitslücken für alle Abhängigkeiten eines Projektes aufzulisten ist unhandlich weil Abhängikeiten sich regelmäßig ändern könen; außerdem ist es unnötig weil Tools die sich auf die Analyse von Abhängikeiten spezialisieren das viel skalierbarer hin bekommen.

    No NCAT release has yet fixed a publicly known vulnerability in the project’s own runtime code that had a CVE or similar public vulnerability identifier when the release was created. Therefore, there are currently no project vulnerability identifiers to list in the release notes.

    If a future release fixes such a vulnerability, its release notes will identify the CVE or equivalent public identifier and summarize the affected versions and remediation.


 Berichterstattung 8/8 ●

  • Bug-Report-Prozess


    Genug für ein Badge!

    Das Projekt muss einen Prozess für Benutzer enthalten, um Fehlerberichte zu senden (z. B. mit einem Issue-Tracker oder eine Mailing-Liste). (URL erforderlich) [report_process]

    General bugs, documentation problems, packaging issues, and other reproducible defects may be reported through the project's public GitHub Issues tracker. Suspected security vulnerabilities use the separate private reporting process documented in SECURITY.md.

    Bug-reporting process:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SUPPORT.md#support-channels

    Issue tracker:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Security reports:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md


    Genug für ein Badge!

    Das Projekt SOLLTE einen Issue-Tracker für die Nachverfolgung einzelner Issues verwenden. [report_tracker]

    The project uses GitHub Issues to track individual bugs, enhancements, documentation changes, packaging work, security-adjacent concerns, and other project tasks. Each issue has its own URL, status, history, assignees, comments, and related pull-request references.

    Issue tracker:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Documented issue workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md#issue-workflow


    Genug für ein Badge!

    Das Projekt MUSS eine Mehrheit der in den letzten 2-12 Monaten eingereichten Fehlerberichte berücksichtigen; Die Antwort muss keine Korrektur enthalten. [report_responses]

    At the time of this application, the project has acknowledged and completed the applicable issue reports submitted during the 2-to-12-month review window. The public tracker records assignment, status changes, closure, comments, and related implementation work.

    Applicable review-period issues:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues?q=is%3Aissue+created%3A2025-07-17..2026-05-17

    Open issues from that period:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues?q=is%3Aissue+is%3Aopen+created%3A2025-07-17..2026-05-17


    Genug für ein Badge!

    Das Projekt SOLLTE auf eine Mehrheit (>50%) der Verbesserungsvorschläge in den letzten 2-12 Monaten (einschließlich) reagieren. [enhancement_responses]
    Die Antwort DARF "nein" oder eine Diskussion über ihre Vorzüge sein. Das Ziel ist einfach, dass es einige Antworten auf einige Anfragen gibt, was darauf hinweist, dass das Projekt noch am Leben ist. Für die Zwecke dieses Kriteriums müssen die Projekte keine falschen Anfragen (z.B. von Spammern oder automatisierten Systemen) zählen. Wenn ein Projekt keine weiteren Verbesserungen vornimmt, wählen Sie bitte "Unerfüllt" und geben Sie die URL ein, die diesen Zustand den Benutzern klar macht. Wenn ein Projekt von der Anzahl der Verbesserungsvorschläge überwältigt wird, wählen Sie bitte "Unerfüllt" und erklären Sie die Situation.

    The project responds to and tracks enhancement requests through GitHub Issues. Applicable enhancement requests in the review period were implemented, closed as completed, superseded by later tracked work, or otherwise given a documented disposition.

    Issue archive:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Example enhancement response:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues/20


    Genug für ein Badge!

    Das Projekt MUSS ein öffentlich zugängliches Archiv für Berichte und Antworten für die spätere Suche haben. (URL erforderlich) [report_archive]

    GitHub Issues provides a publicly available, searchable archive of project reports and responses. Users can search and filter open and closed issues and review issue descriptions, comments, assignees, status changes, and linked pull requests.

    Public issue archive:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues

    Closed issue archive:
    https://github.com/cdcavell/NetCoreApplicationTemplate/issues?q=is%3Aissue+is%3Aclosed


  • Anfälligkeits-Prozessbericht


    Genug für ein Badge!

    Das Projekt MUSS den Prozess für die Meldung von Schwachstellen auf der Projektseite veröffentlichen. (URL erforderlich) [vulnerability_report_process]
    z.B., eine klar benannte Mailing-Adresse auf https://PROJECTSITE/security, oft in der Form security@example.org. Dies KANN die gleiche sein wie die für den Fehlerberichtsprozess. Informationen über Schwachstellen können immer öffentlich sein, aber viele Projekte verfügen über einen privaten Schwachstellen-Berichtsmechanismus.

    The project publishes a security policy describing how to report suspected vulnerabilities, what information to include, the supported release lines, disclosure expectations, and the security areas within project scope.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md


    Genug für ein Badge!

    Falls das Projekt einen Kanal zur Übertragung von Schwachstellen besitzt, dann MUSS diese Informationsübertragung privat ablaufen. (URL erforderlich) [vulnerability_report_private]
    Beispiele hierfür sind ein privater Defektbericht, der im Internet über HTTPS (TLS) oder eine mit OpenPGP verschlüsselte E-Mail verschickt wird. Wenn die Informationsübertragung von Schwachstellen immer öffentlich sind (also gibt es niemals private Informationsübertragung von Schwachstellen), wählen Sie "nicht anwendbar" (N/A).

    The project supports confidential vulnerability reports through GitHub Private Vulnerability Reporting. Reporters are instructed not to open a public issue for suspected vulnerabilities.

    Private reporting form:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/advisories/new

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md#reporting-a-vulnerability


    Genug für ein Badge!

    Das Projekts MUSS mindestens binnen 14 Tagen, auf jeden in den letzten 6 Monaten erhaltenen Anfälligkeitsbericht, reagieren. [vulnerability_report_response]
    Wenn in den letzten 6 Monaten keine Schwachstellen gemeldet wurden, wählen Sie "nicht anwendbar" (N/A).

    No vulnerability reports were received by the project during the preceding six months, so there are no applicable initial response times to evaluate.


 Qualität 13/13 ●

  • Produktivsystem


    Genug für ein Badge!

    Falls die vom Projekt entwickelte Software vor Benutzung kompiliert werden muss, MUSS das Projekt ein funktionierendes Buildsystem bereitstellen, das den Quellcode automatisch in Software übersetzt. [build]
    Ein Build-System bestimmt, welche Aktionen durchgeführt werden müssen, um die Software neu zu bauen (und in welcher Reihenfolge) und führt dann diese Schritte aus. Zum Beispiel kann es einen Compiler aufrufen, um den Quellcode zu kompilieren. Wenn eine ausführbare Datei aus dem Quellcode erstellt wird, muss es möglich sein, den Quellcode des Projekts zu ändern und dann eine aktualisierte ausführbare Datei mit diesen Modifikationen zu erzeugen. Wenn die vom Projekt produzierte Software von externen Bibliotheken abhängt, muss das Build-System diese externen Bibliotheken nicht bauen. Wenn es keine Notwendigkeit gibt, irgendetwas zu bauen, um die Software zu verwenden, nachdem ihr Quellcode geändert wurde, wählen Sie "nicht anwendbar" (N/A).

    The project provides a working .NET SDK/MSBuild build system that automatically restores dependencies and rebuilds the solution from source. The README documents the required commands, and the CI workflow performs locked dependency restore, Release build, formatting validation, automated tests, package creation, and generated-template smoke tests.

    Build instructions:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#quick-start-from-source

    CI build workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Es ist EMPFHOLEN, dass gewöhnliche Werkzeuge zum Kompilieren von Software benutzt wird. [build_common_tools]
    Beispielsweise, Maven, Ant, cmake, die Autotools, make, rake (Ruby) oder devtools (R).

    The project uses the standard cross-platform .NET SDK command-line build tools: dotnet restore, dotnet build, dotnet test, dotnet pack, and MSBuild. The required SDK version is declared in global.json so developers and CI can use a consistent, widely supported toolchain.

    SDK configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/global.json

    Build workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Das Projekt SOLLTE allein mit FLOSS-Werkzeugen gebaut werden können. [build_floss_tools]

    NCAT can be rebuilt using only open-source tools. A local Linux or macOS build requires the .NET SDK and its included CLI/MSBuild toolchain; both the .NET SDK source and MSBuild are MIT-licensed. No proprietary IDE, Visual Studio installation, or proprietary build service is required.

    Build instructions:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#quick-start-from-source

    SDK configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/global.json


  • Automatisierte Test-Suite


    Genug für ein Badge!

    Das Projekt MUSS mindestens eine automatisierte Test-Suite verwenden, die öffentlich als FLOSS veröffentlicht wird (diese Test-Suite kann als separates FLOSS-Projekt gepflegt werden). Das Project MUSS verständlich zeigen oder dokumentieren, wie die Test-Suite ausgeführt wird (z. B. durch ein Continuous Integration (CI) Script oder als Dokumentation in Dateien, wie z. B. BUILD.md, README.md oder CONTRIBUTING.md). [test]
    Das Projekt KANN mehrere automatisierte Test-Suiten benutzen (z. B. eine, die schnell läuft, eine andere, die gründlicher ist, aber spezielle Ausrüstung erfordert). Es gibt viele Test-Frameworks und Systeme die Tests unterstützten, einschließlich Selenium (web browser automation), Junit (JVM, Java), RUnit (R), testthat (R).

    The project includes a publicly available automated test suite in the same MIT-licensed source repository. The README and contribution documentation explain how to restore, build, and run the tests, and the CI workflow runs them automatically.

    Test source:
    https://github.com/cdcavell/NetCoreApplicationTemplate/tree/main/tests

    Build and test instructions:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/README.md#quick-start-from-source

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Eine Test-Suite SOLLTE in einer üblichen Weise für diese Programmiersprache aufrufbar sein. [test_invocation]
    Zum Beispiel, "make check", "mvn test", oder "rake test" (Ruby).

    The automated test suite is invoked using the standard .NET command:

    dotnet test --configuration Release

    This command is documented for contributors and is also used by the CI and release-validation workflows.

    Validation documentation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md#validation-expectations

    Build-quality documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/build-quality.html


    Genug für ein Badge!

    Es wird erwartet, dass die Test-Suite die meisten (oder idealerweise alle) Code-Zweige, Eingabefelder und Funktionalitäten abdeckt. [test_most]

    The project enforces a 75% global line-coverage threshold and additional file-level line and branch coverage thresholds for security-critical components. The suite includes unit tests, integration tests, generated-template smoke tests, cross-platform scaffold build tests, and property-based tests for varied input values.

    Coverage policy:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/build-quality.html#coverage-policy

    Published coverage report:
    https://cdcavell.github.io/NetCoreApplicationTemplate/coverage/

    Security-critical coverage configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/eng/security-critical-coverage.json


    Genug für ein Badge!

    Es wird erwartet, dass das Projekt eine kontinuierliche Integration durchführt (wo neuer oder geänderter Code häufig in ein zentrales Code-Repository integriert wird und automatisierte Tests auf diesen Ergebnissen durchgeführt werden). [test_continuous_integration]

    The project uses GitHub Actions continuous integration. CI runs for pull requests targeting main, pushes to main, version tags, and manual dispatches. It restores dependencies, builds the solution, verifies formatting, runs automated tests, generates and enforces coverage, packages the template, and validates generated projects across Linux, Windows, and macOS.

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


  • Neue Funktionalitätsüberprüfung


    Genug für ein Badge!

    Das Projekt MUSS allgemeine Grundregeln (formal oder nicht) haben, die als wesentliche neue Funktionalität der Software des Projektes hinzugefügt werden. Tests dieser Funktionalität sollten zu einer automatisierten Test-Suite hinzugefügt werden. [test_policy]
    Solange Grundregeln vorhanden sind, selbst wenn durch Mundpropaganda, sollten die Entwickler/innen Tests für die automatisierte Test-Suite für große neue Funktionalität hinzufügen, wählen Sie "Met".

    The project’s contribution policy requires strong validation and automated test coverage for runtime behavior. Pull requests that add or materially change functionality are expected to include appropriate tests, document their validation, and pass the repository’s automated CI and coverage gates before merge.

    Contribution policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md

    Build and coverage policy:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/build-quality.html


    Genug für ein Badge!

    Das Projekt MUSS nachweisen, dass die test_policy für das Hinzufügen von Tests in den jüngsten großen Änderungen an der Projektsoftware eingehalten wurde. [tests_are_added]
    Wichtige Funktionalitäten würden typischerweise in den Patchnotes erwähnt. Perfektion ist nicht erforderlich, nur Beweise dafür, dass Tests in der Praxis in der Regel der automatisierten Test-Suite hinzugefügt werden, wenn neue Hauptfunktionalität der Projektsoftware hinzugefügt wird.

    Recent significant functionality changes have included corresponding automated tests. Examples include the configurable unknown-client rate-limit fallback behavior, the EF Core save-processing pipeline and interceptor architecture, authentication and audit-storage extensions, and property-based persistence-normalization testing.

    Changelog:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CHANGELOG.md

    Automated tests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/tree/main/tests

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Es wird erwartet, dass diese Richtlinien zum Hinzufügen von Tests (siehe test_policy ) in den Anweisungen für Änderungsvorschläge dokumentiert werden. [tests_documented_added]
    Allerdings ist auch eine informelle Regel akzeptabel, solange die Tests in der Praxis hinzugefügt werden.

    The testing policy is documented in the contribution and pull-request instructions. Pull requests must include a validation or testing section, required checks must pass before merge, and runtime code changes are expected to run the documented restore, build, and test commands.

    Contribution instructions:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/CONTRIBUTING.md#pull-request-expectations

    GitHub workflow:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/github-workflow.html#pull-request-expectations


  • Warnhinweise


    Genug für ein Badge!

    Das Projekt MUSS einen oder mehrere Compiler-Warn-Flags, einen "sicheren" Sprachmodus oder ein separates "Linter" -Tool verwenden, um nach qualitativen Fehlern im Code oder gängigen einfachen Fehlern zu suchen, wenn es mindestens ein FLOSS-Tool gibt, das dieses Kriterium implementieren kann in der gewählten sprache [warnings]
    Beispiele für Compiler-Warn-Flags sind gcc / clang "-Wall". Beispiele für einen "sicheren" Sprachmodus beinhalten JavaScript "use strict" und perl5's "use warnings". Ein separates "Linter" -Tool ist einfach ein Werkzeug, das den Quellcode untersucht, um nach qualitativen Fehlern im Code oder gängigen einfachen Fehlern zu suchen. Diese werden in der Regel im Quellcode aktiviert oder in den Einstellungen.

    The project enables the .NET analyzers at the latest recommended analysis level, nullable reference-type analysis, code-style enforcement during builds, and repository-wide analyzer severity rules for reliability, security, performance, usage, code quality, and style. CI also runs dotnet format with --verify-no-changes.

    Build configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/Directory.Build.props

    Analyzer configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.editorconfig

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Das Projekt MUSS auf Warnungen reagieren. [warnings_fixed]
    Dies sind die Warnungen, die durch die Umsetzung des warnings Kriteriums identifiziert wurden. Das Projekt sollte Warnungen beheben oder im Quellcode als falsch positives Ergebnis markieren. Idealerweise gibt es keine Warnungen, aber ein Projekt DARF einige Warnungen akzeptieren (typischerweise weniger als 1 Warnung pro 100 Zeilen oder weniger als 10 Warnungen).

    Compiler, analyzer, packaging, workflow, and formatting warnings are treated as actionable maintenance findings. The project fixes warnings in source or configuration and uses narrowly documented severity exceptions only where a rule would create disproportionate noise or conflict with an intentional framework pattern.

    Analyzer configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.editorconfig

    Commit history:
    https://github.com/cdcavell/NetCoreApplicationTemplate/commits/main/

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Es wird erwartet, dass Projekte Warnungen in der Software, die durch das Projekt produziert wird, sorgfältig berücksichtigen. [warnings_strict]
    Bei manchen Projekten können einige Warnungen effektiv nicht aktiviert werden. Was benötigt wird, ist ein Beleg dafür, dass das Projekt danach strebt, Warnungen zu aktivieren, wo es möglich ist, so dass Fehler frühzeitig erkannt werden.

    The project uses a production-oriented warning configuration that is strict where practical for a reusable ASP.NET Core template. It enables latest-recommended .NET analyzers, nullable analysis, build-time code-style enforcement, warning severity across the major analyzer categories, dotnet format verification, CodeQL analysis, and additional security-focused quality gates.

    The project intentionally does not globally set TreatWarningsAsErrors because compiler and analyzer changes across SDK servicing releases could otherwise create unnecessary downstream build failures for generated consumer applications. Actionable warnings are still reviewed and corrected.

    Build-quality policy:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/build-quality.html

    Build configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/Directory.Build.props

    Analyzer configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.editorconfig


 Sicherheit 16/16 ●

  • Wissen über sichere Entwicklungspraktiken


    Genug für ein Badge!

    Das Projekt MUSS mindestens einen primären Entwickler haben, der weiß, wie man sichere Software entwerfen kann. (Siehe "Details" für spezifische Anforderungen.) [know_secure_design]
    Dies erfordert das Verständnis der folgenden Designprinzipien, einschließlich der 8 Prinzipien von Saltzer und Schroeder:
    • Wirtschaftlichkeit des Mechanismus (halten Sie das Design so einfach und klein wie möglich, z. B. durch umfassende Vereinfachungen)
    • Fehlersichere Voreinstellungen (Zugriffsentscheidungen sollten standardmäßig verweigert werden und die Installation der Projekte sollte standardmäßig sicher sein)
    • Vollständige Vermittlung (jeder Zugang, der begrenzt werden kann, muss auf Berechtigungen überprüft werden und darf nicht umgangen werden können)
    • Offenes Design (Sicherheitsmechanismen sollten nicht von der Unkenntnis der Angreifer über das Designs abhängig gemacht werden, sondern stattdessen auf leichter schützbare und änderbare Informationen wie Schlüssel und Passwörter)
    • Trennung von Privilegien (Idealerweise sollte der Zugriff auf wichtige Objekte von mehr als einer Bedingung abhängen, so dass die Beseitigung eines Schutzsystems keinen vollständigen Zugriff ermöglicht. z. B., Multi-Faktor-Authentifizierung wie die Erfordernis eines Passwortes und eines Hardware-Token ist stärker als die Single-Faktor-Authentifizierung)
    • So wenige Privilegien wie möglich (Prozesse sollten nur mit den geringsten Privilegien laufen)
    • So wenig gemeinsame Mechanismen wie möglich (Das Design sollte die Mechanismen minimieren, die von mehreren Benutzern gemeinsam verwendet werden und von allen Benutzern abhängig sind, z.B. Verzeichnisse für temporäre Dateien)
    • Psychologische Akzeptanz (Die menschliche Schnittstelle muss benutzerfreundlich entworfen werden - Design für "geringeste Überraschung" kann dabei helfen)
    • Begrenzte Angriffsfläche (die Angriffsfläche - die Menge der verschiedenen Punkte, wo ein Angreifer versuchen kann, Daten einzugeben oder zu extrahieren - sollte begrenzt sein)
    • Eingabevalidierung mit Positivliste (Eingaben sollten in der Regel überprüft werden, um festzustellen, ob sie gültig sind, bevor sie akzeptiert werden; diese Validierung sollte Postitivlisten verwenden (die nur bekannte gute Werte akzeptieren), nicht Negativlisten (die versuchen, bekannte schlechte Werte aufzulisten)).
    Ein "Primärer Entwickler" in einem Projekt ist jedermann, der mit der Codebasis des Projekts vertraut ist, der in der Lage ist Änderungen daran vorzunehmen und von den meisten anderen Teilnehmern des Projekts als solches anerkannt wird. Ein primärer Entwickler hat üblicherweise im vergangen Jahr eine Reihe von Aufgaben übernommen (Code, Dokumentation oder Beantwortung von Fragen). Die Entwickler würden typischerweise als primäre Entwickler betrachtet, wenn sie das Projekt initiiert haben (und das Projekt nicht vor mehr als drei Jahre verlassen haben), die Möglichkeit haben, Informationen zu Schwachstellen über einen privaten Berichtskanal zu erhalten (falls vorhanden), neuen Code zum Projekt entgegennehmen zu können, oder die endgültige Freigaben der Projektsoftware durchzuführen. Wenn es nur einen Entwickler gibt, ist diese Person der primäre Entwickler. Es gibt viele Bücher und Kurse die Wissen vermitteln,wie sichere Software entwickelt und entworfen werden kann. Zum Beispiel bietet der kostenlose Kurs Secure Software Development Fundamentals drei Module an, die erklären wie man sichere Software entwickelt.

    The project's primary developer and maintainer understands and applies secure software design principles, including economy of mechanism, fail-safe defaults, complete mediation, open design, separation of privilege, least privilege, least common mechanism, psychological acceptability, limited attack surface, and allowlist-based input validation.

    These principles inform the project's secure-by-default configuration, middleware ordering, authorization architecture, narrowly scoped workflow permissions, production-safe error handling, security documentation, and review practices.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Security documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/authentication-hardening.html
    https://cdcavell.github.io/NetCoreApplicationTemplate/articles/production-deployment-checklist.html


    Genug für ein Badge!

    Mindestens einer der primären Entwickler des Projekts MUSS über weitläufige Arten von Fehlern, die zu Schwachstellen in dieser Art von Software führen, Bescheid wissen sowie mindestens eine Methode, um jede von ihnen zu beseitigen oder zu mildern. [know_common_errors]
    Beispiele (je nach Art der Software) beinhalten SQL-Injektion, OS-Injektion, klassischer Pufferüberlauf, Cross-Site-Scripting, fehlende Authentifizierung und fehlende Autorisierung. Siehe die CWE/SANS top 25 oder OWASP Top 10 für häufig verwendete Listen. Es gibt viele Bücher und Kurse die Wissen vermitteln,wie sichere Software entwickelt und entworfen werden kann. Zum Beispiel bietet der kostenlose Kurs Secure Software Development Fundamentals drei Module an, die erklären wie man sichere Software entwickelt.

    The project's primary developer understands common vulnerability classes relevant to ASP.NET Core applications and appropriate countermeasures, including:

    • SQL and command injection: parameterized data access, avoiding command construction from untrusted input, and input validation.
    • Cross-site scripting: contextual output encoding, safe templating, Content Security Policy, and security headers.
    • Cross-site request forgery: antiforgery protections, secure cookie settings, and appropriate SameSite policies.
    • Missing or broken authentication and authorization: deny-by-default policies, complete authorization checks, least privilege, and secure session handling.
    • Sensitive-data and secret exposure: external secret storage, restricted permissions, rotation, scanning, and production-safe logging.
    • Proxy and forwarded-header spoofing: explicitly trusted proxies and networks with correct middleware ordering.
    • Denial of service and abusive requests: rate limiting, concurrency controls, request-size limits, and bounded processing.
    • Information leakage through errors: centralized exception handling and production-safe Problem Details responses.
    • Vulnerable dependencies and build pipelines: dependency review, lock files, automated scanning, pinned workflow actions, and maintainer review.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Project documentation:
    https://cdcavell.github.io/NetCoreApplicationTemplate/


  • Verwende grundlegend gute kryptographische Praktiken

    Beachten Sie, dass einige Software keine kryptographischen Mechanismen verwenden muss. Wenn Ihr Project Software erstellt das (1) kryptographische funktionen einbindet, aktiviert, oder ermöglicht und (2) aus den USA heraus an nicht US-Bürger verteilt wird, dann könnten sie rechtlich zu weiterne Schritten gezwungen sein. Meistens beinhaltet dies lediglich das Senden einer E-Mail. Für mehr Informationen, siehe den Abschnitt zu Encryption in Understanding Open Source Technology & US Export Controls.

    Genug für ein Badge!

    Die vom Projekt entwickelte Software MUSS standardmäßig nur kryptografische Protokolle und Algorithmen verwenden, die öffentlich sind und von Experten überprüft wurden (falls kryptographische Protokolle und Algorithmen verwendet werden). [crypto_published]
    Diese kryptographischen Kriterien gelten nicht immer, da einige Software keine direkten kryptografischen Funktionen benötigt.

    The default scaffold uses established cryptographic mechanisms supplied by ASP.NET Core and .NET rather than private or project-specific algorithms. Cookie authentication is protected by ASP.NET Core Data Protection, whose default algorithms are AES-256-CBC for confidentiality and HMAC-SHA-256 for authentication. Optional external authentication is implemented through established cookie, OpenID Connect, SAML2, Microsoft, Google, and GitHub authentication handlers.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs

    Authentication hardening guidance:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/docs/articles/authentication-hardening.md


    Genug für ein Badge!

    Wenn die Software, die durch das Projekt produziert wird, eine Anwendung oder Bibliothek ist, und ihr Hauptzweck nicht die Kryptographie ist, dann SOLLTE sie lediglich Software einbinden, die speziell für kryptographische Funktionen entworfen ist; Sie SOLLTE NICHT eine eigene Implementierung vornehmen. [crypto_call]

    NetCoreApplicationTemplate does not implement its own cryptographic primitives. It delegates authentication-cookie protection, protocol handling, token validation, certificate validation, and related cryptographic operations to ASP.NET Core, .NET, and the registered authentication-provider libraries.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs


    Genug für ein Badge!

    Alle Funktionalitäten in der vom Projekt entwickelten Software, die von Kryptographie abhängigen, MÜSSEN mit FLOSS implementiert werden. [crypto_floss]
    Siehe Open Standards Requirement for Software by the Open Source Initiative.

    All cryptographic functionality required by the project can be implemented using the open-source .NET runtime and ASP.NET Core framework. The project does not require a proprietary cryptographic library or proprietary development environment.

    ASP.NET Core source:
    https://github.com/dotnet/aspnetcore

    .NET runtime source:
    https://github.com/dotnet/runtime


    Genug für ein Badge!

    Die Sicherheitsmechanismen innerhalb der vom Projekt entwickelten Software, MÜSSEN Standard-Keylängen verwenden, die die NIST-Mindestanforderungen bis zum Jahr 2030 erfüllen (wie im Jahr 2012 festgelegt). Es MUSS möglich sein, die Software so zu konfigurieren, dass kürzere Keylängen vollständig deaktiviert werden können. [crypto_keylength]
    Diese minimalen Bitlängen sind: symmetric key 112, factoring modulus 2048, discrete logarithm key 224, discrete logarithmic group 2048, elliptic curve 224, und hash 224 (das Passworthashing ist nicht von dieser Bitlänge abgedeckt, weitere Informationen zum Passworthashing finden sich im crypto_password_storage Kriterium). Siehe https://www.keylength.com für einen Vergleich von Keylängen Empfehlungen von verschiedenen Organisationen. Die Software KANN kleinere Keylängen in einigen Konfigurationen erlauben (idealerweise nicht, da dies Downgrade-Angriffe erlaubt, aber kürzere Keylängen sind manchmal für die Interoperabilität notwendig).

    The built-in authentication-cookie protection mechanism uses ASP.NET Core Data Protection. Its defaults use AES-256-CBC, HMAC-SHA-256, and a rotating 512-bit master key, exceeding the applicable NIST minimum key-length requirements.

    NCAT does not expose an application setting that downgrades these cryptographic key lengths. Consuming applications can explicitly lock Data Protection to the approved built-in algorithms, and production TLS protocols and cipher policy can be restricted through Kestrel, the reverse proxy, or operating-system security policy.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs

    Authentication hardening:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/docs/articles/authentication-hardening.md


    Genug für ein Badge!

    Die Standard-Sicherheitsmechanismen innerhalb der vom Projekt entwickelten Software DÜRFEN NICHT von defekten kryptographischen Algorithmen abhängen (z.B. MD4, MD5, Single DES, RC4, Dual_EC_DRBG) oder Chiffre-Modi verwenden, die dem Kontext unangemessen sind, außer sie sind notwendig, um kompatible Protokolle bereitzustellen (wenn das Protokoll in der neusten Version in der Zielumgebung zum Einsatz kommt, die Zielumgebung solch ein Protokoll erfordert und das Zielsystem keine sicherere Alternative anbietet). Die Dokumentation MUSS auf jegliche Sicherheitsrisiken hinweisen und bekannte Vorsichtsmaßnahmen beschreiben, sollten unsichere Protokolle unumgäglich sein. [crypto_working]
    Der EZB-Modus ist fast nie angemessen, da er identische Blöcke innerhalb des Geheimtextes aufdeckt, wie der ECB-Pinguin zeigt. Der CTR-Modus ist oft unangemessen, da er keine Authentifizierung durchführt und Duplikate verursacht, wenn eine Eingabe wiederholt wird. In vielen Fällen ist es am besten, einen Block-Chiffre-Algorithmus-Modus zu wählen, der entworfen wurde, um Geheimhaltung und Authentifizierung zu kombinieren, z.B. Galois/ Counter Mode (GCM) und EAX. Projekte KÖNNTEN Benutzern erlauben, defekte Mechanismen zu ermöglichen (z. B. während der Einrichtung), falls nötig für Kompatibilität, aber dann wissen die Benutzer, dass sie es tun.

    NetCoreApplicationTemplate does not implement or depend by default on broken cryptographic algorithms such as MD4, MD5, single DES, RC4, or Dual_EC_DRBG.

    Cryptographic operations used for authentication cookies and related framework security features are delegated to ASP.NET Core and .NET. ASP.NET Core Data Protection uses AES-256-CBC with HMAC-SHA-256 authentication by default rather than project-defined cryptography.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs

    Authentication hardening guidance:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/docs/articles/authentication-hardening.md


    Genug für ein Badge!

    Die Standard-Sicherheitsmechanismen innerhalb der vom Projekt entwickelten Software SOLLTEN NICHT nicht von kryptographischen Algorithmen oder Modi mit bekannten schweren Schwächen abhängen (z.B. SHA-1-Kryptographie-Hash-Algorithmus oder CBC-Modus in SSH). [crypto_weaknesses]
    Sorgen über den CBC-Modus in SSH werden in CERT: SSH CBC vulnerability erläutert.

    The project's default security mechanisms do not depend on SHA-1, MD5, DES, RC4, unauthenticated encryption, CBC-mode SSH, or other cryptographic mechanisms with known serious weaknesses.

    ASP.NET Core Data Protection uses AES-256-CBC together with HMAC-SHA-256 authentication. It generates a per-operation key modifier and initialization vector, and the complete protected payload is authenticated by the HMAC. This is not the unauthenticated or SSH-specific CBC usage addressed by this criterion.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs


    Genug für ein Badge!

    Die Sicherheitsmechanismen innerhalb der vom Projekt entwickelten Software SOLLTEN Perfect Forward Secrecy für wichtige Vereinbarungsprotokolle implementieren, so dass ein Sitzungsschlüssel, der aus einer Reihe von Langzeitschlüsseln abgeleitet wird, nicht beeinträchtigt werden kann, wenn einer der Langzeitschlüssel in der Zukunft kompromittiert wird. [crypto_pfs]

    NetCoreApplicationTemplate does not implement or directly configure a cryptographic key-agreement protocol. HTTPS/TLS key agreement is supplied by the hosting platform, Kestrel, web server, ingress controller, or reverse proxy selected by the consuming deployment.

    ASP.NET Core Data Protection protects application payloads and authentication cookies but is not a session key-agreement protocol. Therefore, perfect forward secrecy is not directly applicable to the project-owned cryptographic functionality.

    Production deployment guidance:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/docs/articles/authentication-hardening.md


    Genug für ein Badge!

    Wenn die vom Projekt erzeugte Software Passwörter für die Authentifizierung von externen Benutzern speichert, MÜSSEN die Passwörter als iterierte Hashes mit einem per-User-Salt unter Verwendung eines Key-Stretching (iterierten) Algorithmus (z.B. Argon2id, Bcrypt, Scrypt, or PBKDF2). Siehe auch OWASP Password Storage Cheat Sheet). [crypto_password_storage]
    Dieses Kriterium gilt nur, wenn die Software die Authentifizierung von externan Benutzern mit Passwörtern erzwingt (inbound authentication), wie z. B. bei serverseitigen Webanwendungen. Es gilt nicht in Fällen, in denen die Software Kennwörter für die Authentifizierung in andere Systeme speichert (outbound authentication, z. B. die Software implementiert einen Client für ein anderes System), da zumindest Teile dieser Software oft Zugriff auf das Passwort im Klartext haben müssen.

    NetCoreApplicationTemplate does not implement external-user password registration, a password credential database, or password-based identity verification.

    The default Cookies scheme manages an authenticated session; it does not store or verify a user's password. Optional OpenID Connect, SAML2, Microsoft, Google, and GitHub providers delegate user authentication to external identity providers.

    Authentication documentation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/docs/articles/authentication.md


    Genug für ein Badge!

    Die Sicherheitsmechanismen innerhalb der vom Projekt entwickelten Software MÜSSEN alle kryptographischen Schlüssel und Nonces mit einem kryptographisch sicheren Zufallszahlengenerator erzeugen und DÜRFEN NICHT mit Generatoren arbeiten, die kryptographisch unsicher sind. [crypto_random]
    Ein kryptographisch sicherer Zufallszahlengenerator kann ein Hardware-Zufallszahlengenerator sein oder es kann ein kryptographisch sicherer Pseudozufallszahlengenerator (CSPRNG) sein, der einen Algorithmus wie Hash_DRBG, HMAC_DRBG, CTR_DRBG, Yarrow oder Fortuna verwendet. Beispiele für Aufrufe von sicheren Zufallszahlengeneratoren umfassen Javas java.security.SecureRandom und JavaScripts window.crypto.getRandomValues. Beispiele für Anrufe von unsicheren Zufallszahlengeneratoren sind Javas java.util.Random und JavaScripts Math.random.

    NetCoreApplicationTemplate does not generate cryptographic keys, salts, initialization vectors, or nonces using application-defined random-number code. These operations are delegated to the cryptographic implementations in ASP.NET Core and .NET.

    ASP.NET Core Data Protection automatically generates and rotates its master keys and uses random per-operation key modifiers and initialization vectors or nonces for authenticated payload protection. No project-owned cryptographic operation uses System.Random or another non-cryptographic random generator.

    Authentication implementation:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/src/ProjectTemplate.Web/Authentication/Extensions/AuthenticationServiceExtensions.cs


  • Gesicherte Zustellung gegen Man-in-the-Middle-/MITM-Angriffe


    Genug für ein Badge!

    Das Projekt MUSS einen Auslieferungsmechanismus verwenden, der den MITM-Angriffen entgegenwirkt. Die Verwendung von https oder ssh + scp ist akzeptabel. [delivery_mitm]
    Ein noch stärkerer Mechanismus ist die Freigabe der Software mit digital signierten Paketen, da dies Angriffe auf das Verteilungssystem verringert, aber das funktioniert nur, wenn die Benutzer sicher sein können, dass die öffentlichen Schlüssel für Signaturen korrekt sind und wenn die Benutzer die Signatur tatsächlich überprüfen.

    Project source, releases, documentation, NuGet packages, container images, and dependency feeds are delivered through HTTPS-protected services.

    Repository and releases:
    https://github.com/cdcavell/NetCoreApplicationTemplate
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases

    NuGet package:
    https://www.nuget.org/packages/NetCoreApplicationTemplate

    Container registry:
    https://github.com/cdcavell/NetCoreApplicationTemplate/pkgs/container/netcoreapplicationtemplate


    Genug für ein Badge!

    Ein kryptographischer Hash (z.B. sha1sum) DARF NICHT über http abgerufen und ohne Überprüfung einer kryptographischen Signatur verwendet werden. [delivery_unsigned]
    Diese Hashes könnten bei der Übermittlung verändert werden.

    The project does not retrieve cryptographic hashes over plaintext HTTP for use as software-delivery verification.

    Source code, packages, dependencies, release artifacts, and container images are obtained from HTTPS-protected GitHub, NuGet, and GitHub Container Registry endpoints. No repository-owned installation or publishing process uses an HTTP-delivered checksum as a substitute for authenticated transport or signature verification.

    NuGet source configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/nuget.config

    Release channels:
    https://github.com/cdcavell/NetCoreApplicationTemplate/releases


  • Öffentlich bekannte Schwachstellen wurden behoben


    Genug für ein Badge!

    Es DARF KEINE ungepatchte Schwachstelle von mittlerer oder höherer Schwere enthalten sein, die seit mehr als 60 Tagen öffentlich bekannt ist. [vulnerabilities_fixed_60_days]
    Die Sicherheitslücke muss vom Projekt selbst gepatched und freigegeben werden (Patches dürfen woanders entwickelt werden). Eine Sicherheitsücke wird (für diesen Zweck) öffentlich bekannt, sobald es einen CVE mit öffentlich freigegebenen, nicht bezahlten Informationen hat (veröffentlicht beispielsweise in der National Vulnerability Database) oder wenn das Projekt informiert und die Informationen der Öffentlichkeit zugänglich gemacht wurden (evtl. durch das Projekt). Eine Sicherheitslücke ist hat einen mittlerem oder höheren Schweregrad, wenn ihr Common Vulnerability Scoring System (CVSS) Basis-Score 4 oder höher ist. In CVSS Versionen 2.0 bis 3.1 entspricht dies einem CVSS score von 4.0 oder höher. Projekte können einen CVSS Score der in einer viel verwendeten Schwachstellendatenbank (wie z.B. National Vulnerability Database) verwenden, wenn der Score entsprechend der aktuellsten CVSS Version in der Datenbank gelistet ist. Projekte können stattdessen den Schweregrad selbst berechnen, indem sie die neuste Version der CVSS zum Zeitpunkt der Schwachstellenmeldung verwendend, wenn die Eingaben für die Berechnung veröffentlicht werden sobald die Schwachstelle öffentlich bekannt gegeben wurde. Hinweis: Das bedeutet, dass Benutzer bis zu 60 Tage für alle Angreifer weltweit anfällig bleiben können. Dieses Kriterium ist oft viel einfacher zu treffen als das, was Google empfiehlt in Rebooting responsible disclosure, weil Google empfiehlt, dass die 60-Tage-Periode beginnen, wenn das Projekt benachrichtigt wird, selbst dann, wenn der Bericht nicht öffentlich ist. Beachten Sie auch, dass dieses Badge-Kriterium, wie andere Kriterien, auf einzelne Projekte zutrifft. Manche Projekte sind teil einer größeren Organisation oder eines größeren Projektes, möglicherweise als Teil mehrer Lagen, und manche Projekte füttern ihre Ergebnisse an andere Organisationen oder Projekte als teil einer möglicherweisen komplexen Lieferkette. Daher fokussieren wir uns auf die Antwortzeit einzelner Projekte. Wenn ein Projekt einen Patch bereitgestellt hat können andere entscheiden wie sie damit umgehen möchten (z. B. können sie auf eine neue Version upgraden oder nur einzelne Patches auswählen und einspielen).

    At the time of this assessment, NetCoreApplicationTemplate has no known unpatched vulnerability of medium or higher severity that has been publicly known for more than 60 days.

    The project monitors dependencies and source changes through Dependabot, dependency review, CodeQL analysis, locked dependency restoration, and maintainer review. Security fixes are applied to the current stable release line.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Security overview:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security

    Dependabot alerts:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/dependabot


    Genug für ein Badge!

    Projekte SOLLTEN alle kritischen Schwachstellen schnell beheben, nachdem sie gemeldet wurden. [vulnerabilities_critical_fixed]

    No critical vulnerabilities are currently known to remain unpatched in NetCoreApplicationTemplate.

    Critical vulnerability reports are prioritized for immediate private triage, remediation, validation, and release through the project's documented security-reporting and release processes.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Private vulnerability reporting:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/advisories/new


  • Andere Sicherheitsissues


    Genug für ein Badge!

    Die öffentlichen Repositorys DÜRFEN NICHT gültige private Zugriffsdaten enthalten (z. B. ein funktionierendes Passwort oder einen privaten Schlüssel), die den öffentlichen Zugriff einschränken sollen. [no_leaked_credentials]
    Ein Projekt DARF "Beispiel"-Zugriffsdaten für Tests und unwichtige Datenbanken herausgeben, solange sie nicht den öffentlichen Zugang einschränken sollen.

    The public repository does not contain any known valid password, token, private key, certificate, or other credential intended to restrict public access.

    Real credentials are prohibited from repository files, workflow files, examples, documentation, screenshots, and committed logs. Secrets used by deployments or workflows must be stored through GitHub Actions secrets, environment variables, user secrets, or an appropriate external secret store.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Secret scanning:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/secret-scanning


 Analyse 8/8 ●

  • Statische Codeanalyse


    Genug für ein Badge!

    Mindestens ein Tool zur Analyse statischer Codes (über Compiler-Warnungen und "sichere" Sprachmodi hinaus) MUSS vor der Veröffentlichung auf jede vorgeschlagene größere Produktionsversion der Software angewendet werden, wenn mindestens ein FLOSS-Tool dieses Kriterium in der ausgewählten Sprache implementiert. [static_analysis]
    Ein Tool zur statischen Codeanalyse untersucht den Softwarecode (als Quellcode, Zwischencode oder ausführbare Datei), ohne ihn mit bestimmten Eingaben auszuführen. Für dieses Kriterium zählen Compilerwarnungen und "sichere" Sprachmodi nicht als statische Codeanalyse-Tools (diese vermeiden typischerweise eine tiefgreifende Analyse, da Geschwindigkeit entscheidend ist). Manche statischen Codeanalyse-Tools spezialisieren sich auf das Auffinden von generischen Defekten, andere spezialisieren sich auf das Finden von bestimmte Arten von Defekten (z.B. Schwachstellen) und manche können beides. Beispiele für solche Tools zur statischen Codeanalyse sind cppcheck (C, C++), clang static analyzer (C, C++), SpotBugs (Java), FindBugs (Java) (including FindSecurityBugs), PMD (Java), Brakeman (Ruby on Rails), lintr (R), goodpractice (R), Coverity Quality Analyzer, SonarQube, Codacy, und HP Enterprise Fortify Static Code Analyzer.. Mehr Tools finden Sie beispielsweise in der Wikipedia-Liste von Tools zur statischen Codeanalyse, OWASP Informationen zur statischen Code-Analyse , NIST-Liste der Quellcode-Sicherheitsanalyse-Tools und Wheelers Liste der statischen Analyse-Tools. Das SWAMP ist eine kostenlose Plattform zur Bewertung von Schwachstellen in Software mit einer Vielzahl von Tools. Wenn für die verwendete(n) Implementierungssprache(n) keine statischen FLOSS-Analysewerkzeuge verfügbar sind, wählen Sie "N/V".

    The project applies GitHub CodeQL static analysis to C# and GitHub Actions code before production releases. CodeQL runs through the CI workflow for pull requests targeting main, pushes to main, version tags matching v*.., and manual validation runs.

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml

    Code scanning results:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/code-scanning


    Genug für ein Badge!

    Es wird davon ausgegangen, dass mindestens eines der statischen Analysewerkzeuge, die für das statische Analysekriterium verwendet wurde, Regeln oder Ansätze einschließt, um nach häufigen Schwachstellen in der analysierten Sprache oder Umgebung zu suchen. [static_analysis_common_vulnerabilities]
    Statische Analysetools, die speziell dafür entwickelt wurden, nach Schwachstellen zu suchen, finden diese eher. Das heißt, dass die Verwendung von statischen Tools in der Regel helfen wird einige Probleme zu finden. Wir schlagen dies vor, aber erwarten es für das "passing" -Level-Badge nicht.

    The project uses GitHub CodeQL security queries for C# and GitHub Actions. CodeQL analyzes data flow, control flow, untrusted input, injection paths, authentication and authorization mistakes, information exposure, workflow-security weaknesses, and other common vulnerability patterns.

    CodeQL configuration:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml

    Code scanning results:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/code-scanning


    Genug für ein Badge!

    Alle mittel- und höhergradig ausnutzbaren Schwachstellen, die mit statischer Codeanalyse entdeckt wurden, MÜSSEN nach der Entdeckung rechtzeitig behoben werden. [static_analysis_fixed]
    Eine Sicherheitslücke ist hat einen mittlerem oder höheren Schweregrad, wenn ihr Common Vulnerability Scoring System (CVSS) Basis-Score 4 oder höher ist. In CVSS Versionen 2.0 bis 3.1 entspricht dies einem CVSS score von 4.0 oder höher. Projekte können einen CVSS Score der in einer viel verwendeten Schwachstellendatenbank (wie z.B. National Vulnerability Database) verwenden, wenn der Score entsprechend der aktuellsten CVSS Version in der Datenbank gelistet ist. Projekte können stattdessen den Schweregrad selbst berechnen, indem sie die neuste Version der CVSS zum Zeitpunkt der Schwachstellenmeldung verwendend, wenn die Eingaben für die Berechnung veröffentlicht werden sobald die Schwachstelle öffentlich bekannt gegeben wurde. Beachten Sie, dass das Kriterium vulnerabilities_fixed_60_days verlangt, dass alle diese Schwachstellen innerhalb 60 Tagen nach Bekanntgabe gefixt werden.

    At the time of this assessment, the project has no confirmed exploitable medium-or-higher severity CodeQL vulnerability that remains unresolved.

    Static-analysis findings are reviewed for applicability and severity. Confirmed exploitable findings of medium or higher severity are prioritized for remediation, testing, and release through the normal security and CI process.

    Code scanning results:
    https://github.com/cdcavell/NetCoreApplicationTemplate/security/code-scanning

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md


    Genug für ein Badge!

    Es wird EMPFOHLEN, dass eine statische Quellcode-Analyse bei jedem Commit oder zumindest täglich ausgeführt wird. [static_analysis_often]

    CodeQL static analysis runs automatically for pull requests targeting main, including subsequent commits pushed to those pull requests, for pushes to main, and for version-tagged releases. This ensures proposed production changes are analyzed before merge and release.

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


  • Dynamische Codeanalyse


    Genug für ein Badge!

    Es ist EMPFHOLEN, dass mindestens ein dynamisches Analyse-Tool auf jede vorgeschlagene größere Veröffentlichung der Software vor seiner Freigabe angewendet wird. [dynamic_analysis]
    Ein dynamisches Analyse-Tool untersucht die Software, indem es sie mit bestimmten Eingaben ausführt. Beispielsweise DARF das Projekt ein Fuzzing-Tool verwenden (z.B. American Fuzzy Lop) oder einen Web Application Scanner (z.B. OWASP ZAP oder w3af). In einigen Fällen ist das OSS-Fuzz Projekt bereit, Fuzz-Tests auf Ihr Projekt anzuwenden. Für die Zwecke dieses Kriteriums muss das dynamische Analyse-Tool die Eingaben in irgendeiner Weise variieren, um nach verschiedenen Arten von Problemen zu suchen oder eine automatisierte Test-Suite mit mindestens 80% Zweig-Abdeckung sein. Die Englische Wikipedia-Seite zur dynamischen Analysen und die OWASP Seite über Fuzzing nennen einige dynamische Analyse-Tools. Das Analyse-Tool(s) DARF für der Suche nach Sicherheitslücken eingesetzt werden, aber das ist nicht erforderlich.

    The project applies property-based dynamic analysis using FsCheck. The property tests execute project code with generated and varied string inputs, including empty values, whitespace, Unicode content, encoded characters, and unusual combinations.

    These tests run through the standard xUnit test suite in CI for pull requests targeting main, pushes to main, and version-tagged releases. This ensures proposed production releases are dynamically tested before release.

    Property-based tests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/tests/ProjectTemplate.Web.Tests/PersistenceStringPropertyTests.cs

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Es ist EMPFHOLEN, dass die vom Projekt entwickelte Software, falls sie Software von einer Speicher-unsicheren Sprache (z. B. C oder C ++) enthält, regelmäßig mindestens ein dynamisches Werkzeug (z.B. ein Fuzzer oder ein Web-Anwendungs-Scanner) in Kombination mit einem Mechanismus zur Erkennung von Speichersicherheitsproblemen wie Puffer-Overwrites verwendet. Wenn das Projekt keine Software entwickelt, die in einer Speicher-unsicheren Sprache geschrieben ist, wählen Sie "nicht anwendbar" (N/A). [dynamic_analysis_unsafe]
    Beispiele für Mechanismen zur Erkennung von Arbeitsspeicher Sicherheitsproblemen sind Adresse Sanitizer (ASAN) (verfügbar in GCC und LLVM), Memory Sanitizer und valgrind. Andere möglicherweise verwendete Werkzeuge sind Thread Sanitizer und Undefined Behavior Sanitizer. Weit verbreitete Assertions würden auch funktionieren.

    NetCoreApplicationTemplate's project-owned application and test code is written in managed C# targeting .NET. It does not include project-owned C, C++, or another memory-unsafe implementation language requiring AddressSanitizer, Valgrind, or similar buffer-overwrite detection.

    Therefore, the memory-unsafe-language dynamic-analysis criterion is not applicable.


    Genug für ein Badge!

    Es ist EMPFHOLEN, dass das Projekt eine Konfigurations benutzt, die zumindest etwas dynamischen Analyse nutzt (wie z.B. testing oder fuzzing), welche Assertions erlauben. In vielen Fällen sollten diese Assertions nicht in Production Builds aktiviert sein. [dynamic_analysis_enable_assertions]
    Dieses Kriterium schlägt nicht vor, Assertions in der Produktionsumgebung zu aktivieren; das liegt ganz beim Projekt und seinen Benutzern. Stattdessen liegt der Fokus dieses Kriteriums darauf, die Fehlererkennung während der dynamischen Analyse vor der Bereitstellung zu verbessern. Das Aktivieren von Assertions im Produktionseinsatz unterscheidet sich völlig vom Aktivieren von Assertions während der dynamischen Analyse (wie z.B. Tests). In einigen Fällen ist das Aktivieren von Assertions im Produktionseinsatz äußerst unklug (insbesondere bei hochintegren Komponenten). Es gibt viele Argumente gegen das Aktivieren von Assertions in der Produktion, z.B. sollten Bibliotheken keine Aufrufer zum Absturz bringen, ihre Anwesenheit kann zur Ablehnung durch App Stores führen und/oder das Auslösen einer Assertion in der Produktion kann private Daten wie private Schlüssel offenlegen. Beachten Sie, dass in vielen Linux-Distributionen NDEBUG nicht definiert ist, sodass C/C++ assert() standardmäßig für die Produktion in diesen Umgebungen aktiviert wird. Es kann wichtig sein, einen anderen Assertion-Mechanismus zu verwenden oder NDEBUG für die Produktion in diesen Umgebungen zu definieren.

    The automated test configuration executes extensive xUnit assertions and FsCheck property assertions during dynamic testing.

    The property-based tests use QuickCheckThrowOnFailure so a violated invariant immediately fails the test run. The broader unit, integration, middleware, authentication, authorization, persistence, configuration, and generated-template tests likewise use test assertions and fail CI when expected behavior is not satisfied.

    Property-based tests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/tests/ProjectTemplate.Web.Tests/PersistenceStringPropertyTests.cs

    Automated tests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/tree/main/tests

    CI workflow:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/.github/workflows/ci.yml


    Genug für ein Badge!

    Alle mittel- und höhergradig ausnutzbaren Schwachstellen, die mit dynamischer Codeanalyse entdeckt werden, MÜSSEN zügig behoben werden, nachdem sie bestätigt wurden. [dynamic_analysis_fixed]
    Wenn Sie keine dynamische Codeanalyse ausführen und somit keine Schwachstellen auf diese Weise finden, wählen Sie "nicht anwendbar" (N/A). Eine Sicherheitslücke ist hat einen mittlerem oder höheren Schweregrad, wenn ihr Common Vulnerability Scoring System (CVSS) Basis-Score 4 oder höher ist. In CVSS Versionen 2.0 bis 3.1 entspricht dies einem CVSS score von 4.0 oder höher. Projekte können einen CVSS Score der in einer viel verwendeten Schwachstellendatenbank (wie z.B. National Vulnerability Database) verwenden, wenn der Score entsprechend der aktuellsten CVSS Version in der Datenbank gelistet ist. Projekte können stattdessen den Schweregrad selbst berechnen, indem sie die neuste Version der CVSS zum Zeitpunkt der Schwachstellenmeldung verwendend, wenn die Eingaben für die Berechnung veröffentlicht werden sobald die Schwachstelle öffentlich bekannt gegeben wurde.

    At the time of this assessment, no confirmed exploitable medium-or-higher severity vulnerability discovered through the project's automated tests or property-based dynamic analysis remains unresolved.

    Any confirmed exploitable dynamic-analysis finding of medium or higher severity is treated as a security defect and is prioritized for remediation, regression testing, and release through the documented security and CI process.

    Security policy:
    https://github.com/cdcavell/NetCoreApplicationTemplate/blob/main/SECURITY.md

    Automated tests:
    https://github.com/cdcavell/NetCoreApplicationTemplate/tree/main/tests



Diese Daten sind unter der Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0) verfügbar. Dies bedeutet, dass ein Datenempfänger die Daten mit oder ohne Änderungen weitergeben darf, solange der Datenempfänger den Text dieser Vereinbarung mit den weitergegebenen Daten zur Verfügung stellt. Bitte nennen Sie Christopher D. Cavell und die OpenSSF Best Practices Badge-Mitwirkenden als Urheber.

Projekt-Badge-Eintrag im Besitz von: Christopher D. Cavell.
Eintrag erstellt: 2026-07-17 16:50:56 UTC, zuletzt aktualisiert: 2026-07-17 17:40:24 UTC. Letztes erreichtes Badge: 2026-07-17 17:40:24 UTC.