在服务器端,成功登录后,我执行:

HttpServletRequest request = this.getThreadLocalRequest();
HttpSession session = request.getSession();
session.setAttribute("user", subject.getUser().getId());
session.setAttribute("logged", true);


然后,我假定用户已登录。当用户导航到安全页面以保存或删除数据库中的记录时,我将运行此代码。

HttpServletRequest request = this.getThreadLocalRequest();
HttpSession session = request.getSession();
if (session.getAttribute("user")!=null && session.getAttribute("logged"))
{
     //delete a record using the authority of the user.
}


我担心的是,客户端可以使用其他用户ID篡改其浏览器cookie。数据库请求将由其他用户启动,从而跳过登录过程。

Java会话可以识别篡改,还是应该通过添加以下行来对会话进行数字签名

session.setAttribute("signature", hash(secretkey + subject.getUser().getId());


然后在更改数据库之前验证签名是否有效。

if (session.getAttribute("signature").equals(hash(secretkey + session.getAttribute("user"))
{
    //delete a record using the authority of the user.
}

最佳答案

您检查过Cookie吗?您实际上是将用户ID保留在cookie中吗?
无法从客户端访问服务器端会话对象,这将是一个巨大的安全问题。

如果您的代码正确,则使用哈希没有任何理由或优势。

09-10 07:32
查看更多