OWASP Juice Shop

遵循以下最佳实践的项目将能够自愿的自我认证，并显示他们已经实现了核心基础设施计划（OpenSSF）徽章。

如果这是您的项目，请在您的项目页面上显示您的徽章状态！徽章状态如下所示： 项目223的徽章级别为gold 这里是如何嵌入它：

这些是黄金级别条款。您还可以查看通过或白银级别条款。

        

 基本 5/5 ●

  • 识别

    OWASP Juice Shop is probably the most modern and sophisticated insecure web application! It can be used in security trainings, awareness demos, CTFs and as a guinea pig for security tools! Juice Shop encompasses vulnerabilities from the entire OWASP Top Ten along with many other security flaws found in real-world applications!

  • 先决条件


    足够获得徽章！

    该项目必须拥有银级徽章。 [achieve_silver]

  • 项目监督


    足够获得徽章！

    项目必须具有2个或更多的“公交车因子”。 (需要网址) [bus_factor]

    The "bus factor" of OWASP Juice Shop is calculated as 1 by the truck-factor tool*. The constant maintainability "A"-grade and test coverage "A"-grade of CodeClimate (https://codeclimate.com/github/bkimminich/juice-shop) as well as the extensive documentation (https://pwning.owasp-juice.shop/part3/codebase.html) would allow others to pick up the project. OWASP as an organization also has experience in helping new Project Leaders to successfully take over an existing project.

    (*last checked on 04.04.2018)


    足够获得徽章！

    该项目必须至少有两个不相关的重要贡献者。 (需要网址) [contributors_unassociated]

    The project has 6+ unassociated significant contributors with >50 commits logged on GitHub: https://github.com/bkimminich/juice-shop/graphs/contributors


  • 其他


    足够获得徽章！

    项目必须在每个源文件中包含许可证声明。这可以通过在每个文件开头附近的注释中加入以下内容来实现： SPDX-License-Identifier: [SPDX license expression for project]。 [license_per_file]

    Copyright/License headers were added to source files with commit 99178d569925c0134c2951cda35b24b611617253 for OWASP Juice Shop v10.0.0.


  • 公开的版本控制的源代码存储库


    足够获得徽章！

    必须使用通用的分布式版本控制软件（例如，git，mercurial）作为项目的源代码存储库。 [repo_distributed]

    Repository on GitHub, which uses git. git is distributed.


    足够获得徽章！

    该项目必须清楚地识别新的或临时贡献者可以执行的小型任务。 (需要网址) [small_tasks]

    Beginner-friendly tasks are distinctly labeled on GitHub: https://github.com/bkimminich/juice-shop/labels/good%20first%20issue


    足够获得徽章！

    项目必须要求开发人员使用双因素身份验证（2FA）来更改中央存储库或访问敏感数据（如私密漏洞报告）。这种2FA机制可以使用没有密码学机制的方案，如SMS（短消息），尽管不推荐。 [require_2FA]

    The project leader and repository owner has 2FA enabled on his GitHub account.


    足够获得徽章！

    项目的双因素身份认证（2FA）应该使用加密机制来防止仿冒。基于短消息服务（SMS）的2FA本身不符合此标准，因为它不被加密。 [secure_2FA]

    GitHub offers 2FA via safe mechanisms (https://help.github.com/articles/securing-your-account-with-two-factor-authentication-2fa/) and some of these are used by the project leader and repository owner.


  • 编码标准


    足够获得徽章！

    该项目必须记录其代码检视需求，包括代码检视是如何进行的，必须检查的内容以及哪些是可接纳的内容。 (需要网址) [code_review_standards]

    Coding standards including the PR process are documented: https://pwning.owasp-juice.shop/part3/contribution.html. Failing to comply with the standard code style even automatically fails the build pipeline.


    足够获得徽章！

    该项目必须至少有50％的修改（作者之外的人提出的）在发布之前审查，以确定是否是一个有价值的修改，并且没有已知的问题，会反对其包含 [two_person_review]

    Reviews of PRs are spread across the 3 core project team members (https://github.com/bkimminich/juice-shop#contributors)


  • 可工作的构建系统


    足够获得徽章！

    该项目必须具有可重复构建。如果没有发生构建（例如，直接使用源代码而不是编译的脚本语言），请选择“不适用”（N/A）。 (需要网址) [build_reproducible]

    JavaScript project


  • 自动测试套件


    足够获得徽章！

    测试套件必须以该语言的标准方式进行调用。 (需要网址) [test_invocation]

    All test suites are executable via documented npm scripts: https://pwning.owasp-juice.shop/part3/contribution.html#testing


    足够获得徽章！

    该项目必须实施持续集成，将新的或更改的代码经常集成到中央代码库中，并对结果进行自动化测试。 (需要网址) [test_continuous_integration]

    CI/CD Pipeline: https://github.com/juice-shop/juice-shop/actions/workflows/ci.yml


    足够获得徽章！

    如果有至少一个FLOSS工具可以以所选语言度量此条款，该项目的FLOSS自动测试套件必须具有至少90％语句覆盖率。 [test_statement_coverage90]

    Test coverage is automatically gathered in LCOV format from unit and integration tests, accumulated during CI and sent to CodeClimate (https://codeclimate.com/github/bkimminich/juice-shop). The line coverage is typically between 85 and 90%.


    足够获得徽章！

    如果有至少一个FLOSS工具可以以所选语言度量此条款，该项目的FLOSS自动测试套件必须具有至少80％分支覆盖率。 [test_branch_coverage80]

    Branch coverage is not monitored on CodeClimate but can be verified locally from LCOV output of the unit and integration tests.


  • 使用基础的良好加密实践

    请注意，某些软件不需要使用加密机制。

    足够获得徽章！

    项目生成的软件必须支持所有网络通信的安全协议，如SSHv2或更高版本，TLS1.2或更高版本（HTTPS），IPsec，SFTP和SNMPv3。默认情况下，FTP，HTTP，Telnet，SSLv3或更早版本以及SSHv1等不安全协议必须被禁用，只有在用户专门配置时才启用。如果项目生成的软件不支持网络通信，请选择“不适用”（N/A）。 [crypto_used_network]

    足够获得徽章！

    由项目生成的软件必须，如果支持或使用TLS，至少支持TLS版本1.2。请注意，TLS的前身称为SSL。如果软件不使用TLS，请选择“不适用”（N/A）。 [crypto_tls12]

  • 安全交付防御中间人（MITM）的攻击


    足够获得徽章！

    项目网站，存储库（如果可通过网络访问）和下载站点（如果单独）必须包括具有非允许值的密钥加固头。 (需要网址) [hardened_site]

    Project website (https://owasp-juice.shop) and repository (https://github.com/bkimminich/juice-shop) as well as main download site (https://github.com/bkimminich/juice-shop/releases) are all hosted by GitHub. Additional download site SourceForge (https://sourceforge.net/projects/juice-shop/) also meets these requirements.


  • 其他安全问题


    足够获得徽章！

    该项目必须在过去5年内进行安全审查。此审查必须考虑安全需求和安全边界。 [security_review]

    Users are encouraged to report unintentional vulnerabilities in order to have the project team either fix or incorporate them into the list of hacking challenges: https://github.com/bkimminich/juice-shop/security/policy


    足够获得徽章！

    加固机制必须用于项目生产的软件，以便软件缺陷不太可能导致安全漏洞。 (需要网址) [hardening]

    OWASP Juice Shop pins several outdated dependencues to make sure it keeps their known vulnerabilities to be able to provide corresponding hacking challenges.


  • 动态代码分析


    足够获得徽章！

    必须在发布之前，至少将一个动态分析工具应用于软件任何候选发布的主要生产版本。 [dynamic_analysis]

    The nature of OWASP Juice Shop as a vulnerable web application makes it an ideal target for DAST tools. Findings which are part of a hacking challenge will obviously not be fixed. The project used a weekly OWASP ZAP Baseline Scan (https://github.com/juice-shop/juice-shop/actions/workflows/zap_scan.yml) to find unintended vulnerabilities.


    足够获得徽章！

    项目应该在其生成的软件中包含许多运行时断言，并在动态分析期间检查这些断言。 [dynamic_analysis_enable_assertions]

    Due to its nature the Juice Shop only contains solution checks for all of its intentional hacking challenges.



此数据在知识共享署名3.0或更高版本许可证（CC-BY-3.0 +） 下可用。所有内容都可以自由分享和演绎，但必须给予适当的署名。请署名为Björn Kimminich和OpenSSF最佳实践徽章贡献者。

项目徽章条目拥有者： Björn Kimminich.
最后更新于 2016-06-22 08:31:10 UTC, 最后更新于 2021-12-30 08:33:04 UTC。 最后在2018-03-28 14:53:07 UTC丢失通过徽章。 最后在 2018-03-28 14:54:26 UTC 获得通过徽章。

后退