OWASP Juice Shop: Eine absichtlich verwundbare Lernanwendung fuer Websecurity
OWASP Juice Shop: Wahrscheinlich die modernste und ausgefeilteste unsichere Webanwendung.
Auf einen Blick
- Was ist das?
- OWASP Juice Shop wird im README ueber konkrete Komponenten, Einstiegsschritte und Grenzen beschrieben. Die Bewertung sollte an diesen projektspezifischen Schnittstellen ansetzen.
- Für wen ist es gedacht?
- Geeignet ist OWASP Juice Shop fuer ein Team, das Security-Training und DAST-Tests mit einer bewusst unsicheren Shop-Anwendung durchfuehrt und die im README genannten Schnittstellen selbst prueft. Ungeeignet ist das Projekt fuer die Erwartung, dass eine allgemeine Demo bereits die eigene Produktionsumgebung abdeckt.
- Darf ich es kommerziell nutzen?
- Ja. MIT ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Die letzten Commits kamen vor 1 Tag.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich TypeScript, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 15. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
README-Ziel und Einsatzrahmen · juice shop juice shop
OWASP Juice Shop ist im README als readme-ziel und einsatzrahmen beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Der dokumentierte Einstieg · juice shop juice shop
OWASP Juice Shop ist im README als der dokumentierte einstieg beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Wichtige Bausteine · juice shop juice shop
OWASP Juice Shop ist im README als wichtige bausteine beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Konfiguration und Betrieb · juice shop juice shop
OWASP Juice Shop ist im README als konfiguration und betrieb beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Grenzen der Projektangaben · juice shop juice shop
OWASP Juice Shop ist im README als grenzen der projektangaben beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Ein reproduzierbarer Projektcheck · juice shop juice shop
OWASP Juice Shop ist im README als ein reproduzierbarer projektcheck beschrieben. Der konkrete Nutzen entsteht aus dem Projektkern sowie den genannten Dateien, Befehlen und Integrationspunkten. Das grenzt das Projekt von einer blossen Schlagwortsammlung ab: Wer es einsetzt, muss die gezeigten Eingaben, Abhaengigkeiten und Ausgaben in den eigenen Ablauf einordnen. Der dokumentierte Anker dafuer ist `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge. Eine Aussage ueber Geschwindigkeit, Kompatibilitaet oder Betriebsreife gilt deshalb nur innerhalb der beschriebenen Voraussetzungen. Bei der Lektuere lohnt es sich, die Namen von Dateien und APIs unveraendert zu uebernehmen, weil sie die Grenze zwischen README-Beispiel und eigenem Code sichtbar machen. So wird aus der Projektbeschreibung eine pruefbare technische Hypothese.
Redaktionelles Fazit
Geeignet ist OWASP Juice Shop fuer ein Team, das Security-Training und DAST-Tests mit einer bewusst unsicheren Shop-Anwendung durchfuehrt und die im README genannten Schnittstellen selbst prueft. Ungeeignet ist das Projekt fuer die Erwartung, dass eine allgemeine Demo bereits die eigene Produktionsumgebung abdeckt. Vor der Entscheidung sollte `npm start`, die Docker-Variante und die im Tutorial beschriebene Challenge mit einer kleinen, realen Eingabe ausgefuehrt werden. Beobachtet werden sollten konkrete Ausgaben, Fehlermeldungen und der Aufwand fuer Versionswechsel, nicht nur ein erfolgreicher Erstlauf.
Community-Notizen