awesome java security

素晴らしいJavaセキュリティ関連のリソースのキュレーションリスト。

素晴らしいリストに触発されたリスト。

サポート：Guardrails.io

コンテンツ

• ツール
• 教育
• 他の

ツール

Webフレームワークの硬化

• Apache Shiro-認証、承認、暗号化、およびセッション管理を実行する強力で使いやすいJavaセキュリティフレームワーク。
• JJWT -Java JWT：JavaとAndroidのJson Webトークン。
• OWASP ESAPI JAVA-エンタープライズセキュリティAPIは、プログラマーが低リスクアプリケーションを簡単に書き込むことを可能にする無料のオープンソースのWebアプリケーションセキュリティ制御ライブラリです。
• PAC4J -Javaのセキュリティエンジンは、ユーザーを認証し、プロファイルを取得し、WebアプリケーションとWebサービスを保護するための承認を管理します。
• Spring Security-強力で高度にカスタマイズ可能な認証とアクセス制御フレームワーク。
• Spring Security OAuth-Spring WebアプリケーションにOAUTH1（A）およびOAUTH2機能（消費者およびプロバイダー）を追加するためのサポート。

マルチツール

• Hawkeye -Ruby、Node.js、Python、PHP、Javaをサポートする多目的セキュリティ/脆弱性/リスクスキャンツール。
• GuardRails-プルリクエストにインスタントセキュリティフィードバックを提供するGitHubアプリ。

静的コード分析

• SpotBugs -SpotBugsはFindBugsの後継者です。 Javaコードでバグを探すための静的分析のためのツール。
• Security Bugs -java WebアプリケーションとAndroidアプリケーションのセキュリティ監査用のSpotBugsプラグインを見つけます。
• 秘密を検出する - コードの秘密を検出し、防止する企業に優しい方法。
• gitrob -gitrobは、githubのパブリックリポジトリにプッシュされた潜在的に敏感なファイルを見つけるのに役立つツールです。
• Sonarqube -Sonarqubeは、アプリケーションの健康を示す機能を提供し、新たに導入された問題を強調します。
• 過剰担当 - Androidアプリ（APKファイル）の静的アナライザーは、セキュリティの脆弱性を検索します。 90以上の脆弱性カテゴリが含まれています。
• BEARER-セキュリティとプライバシーのリスクを発見、フィルタリング、優先順位付けする静的コードセキュリティアナライザー。

ランタイム分析

• コードパルス - コードパルスは、浸透テスト活動のためのリアルタイムコードカバレッジツールです。
• OWASP ZAP- Webアプリケーションでセキュリティの脆弱性を自動的に見つけるのに役立ちます。
• Contrast Community Edition-無料のランタイム保護と脆弱性検出ツール、ランニングアプリケーションの問題を特定します。

脆弱性とセキュリティアドバイザリ

• OWASP依存関係チェック - アプリケーションの依存関係における公開された脆弱性を検出します。
• SNYK-CLIおよびビルドタイムツールオープンソースの依存関係で既知の脆弱性を見つけて修正します。
• Snyk脆弱性DB-商業的ですが、図書館の既知の脆弱性の無料リスト。
• 共通の脆弱性と露出 - CVEを割り当てられた脆弱性。言語とパッケージをカバーします。
• National Ulnerability Database -Java National Ulnerability Databaseで既知の脆弱性。
• Contrast Community Edition-ライブラリのCVEと時代遅れの依存関係を見つけるための無料ツール。

暗号化

• 弾力のある城 - 暗号化アルゴリズムのJava実装。
• ncountypt -Java暗号拡張およびJavaセキュアソケット拡張の一部を実装するJavaセキュリティプロバイダー。
• 暗号化 - クラウド内のファイルのマルチプラットフォーム透明なクライアント側の暗号化。
• Keyczar- Googleによる使いやすいCrypto Toolkit。
• keywhiz-秘密を配布して管理するためのシステム。
• Tink-安全性があり、簡単に使いやすく、誤用するためにハード（ER）を提供する暗号化されたAPIを提供する多言語、クロスプラットフォームライブラリ。
• ACME4J -Let's暗号化または別のACMEベースのCAを使用してX.509証明書を発行するためのJava ACMEクライアント。

教育

ハッキングプレイグラウンド

• Bodgeit Store-ペンテストを初めて使用する人を対象とした脆弱なWebアプリケーション。
• OWASPベンチマーク - 脆弱性検出ツールの速度と精度を確認するために設計されたJavaテストスイート。
• Security Shepherd- Webおよびモバイルアプリケーションセキュリティトレーニングプラットフォーム。
• Webgoat-意図的に不安定なJava Webアプリケーション。

記事、ガイド、講演

• Java Platform、Standard Edition Security Developer's Guide-このガイドでは、主要なJava Standard Editionセキュリティコンポーネント：Java Cryptography Architecture（JCA）、Java Authentication and Authorization Service（JAAS）、Java Secure Socket Extensions（JSSE）をカバーしています。
• アプリケーションセキュリティ検証標準 - （PDF）標準は、開発者が使用できるアプリケーションセキュリティ要件のリストです。
• Spring Security CSRF -Spring SecurityにおけるCSRF保護のガイド。
• セキュアコーディングガイドライン - Java SEのセキュアコーディングガイドライン
• Webアプリケーションのセキュリティ - このガイドは、Spring Securityによって保護されているリソースを使用して、シンプルなWebアプリケーションを作成するプロセスをご覧ください。
• スプリングセキュリティガイド - スプリングセキュリティの使用方法に関する段階的なガイド。
• クロスサイトスクリプト（XSS）攻撃の防止 - この記事では、XSS攻撃がどのように機能するかを説明し、XSS攻撃をブロックする方法論を提案します。
• Javaセキュリティリソースセンター - Javaプラットフォームのさまざまなユーザー向けのセキュリティ詳細のコレクション。

実践

• SSL/TLSで暗号化するステップバイステップガイドクライアントとサーバー通信を暗号化するためのガイド

仕様

• JSR 115：コンテナのJava承認契約
• JSR 196：コンテナ用のJava認証サービスプロバイダーインターフェイス
• JSR 375：Java EEセキュリティAPI

他の

バグの報告

• Javaセキュリティレポート

貢献

Javaセキュリティに関連する素晴らしいプロジェクト、パッケージ、記事、または別の種類のリソースを見つけましたか？プルリクエストを開きます！ガイドラインに従ってください。ありがとう！

ライセンス