Envoyer un mot de passe en toute sécurité en utilisant gwt et le moteur de l'application?

Question

J'ai mis en place une gestion de session sur un projet d'application google. Ceci est supposé permettre à mes utilisateurs de se connecter et de maintenir l'état entre les pages. Je viens de l'objet de dumping dans le service d'accueil par défaut pour l'essayer:

public class GreetingServiceImpl extends RemoteServiceServlet implements GreetingService { 
    public void sessionTest(String username) { 
     HttpSession session = getThreadLocalRequest().getSession(false); 
     session.setAttribute("username", username); 
    } 
} 

tente alors de le retirer dans ma page project.jsp d'atterrissage:

<% 
String username = null; 
HttpSession mysession = request.getSession(false); 
if (mysession.getAttribute("username") != null) { 
    username = (String)mysession.getAttribute("username"); 
} 
else { 
    username = "(not logged in yet)"; 
} 

<p>You are: 
<%= username %> 
</p> 
%> 

Il fonctionne, mais je ne savoir comment envoyer les données dans sessionTest() de manière sécurisée. Si j'envoyais le mot de passe de l'utilisateur là aussi, ce serait clair. Ce serait ok (je pense) si j'utilisais https, mais google app engine ne vous permet pas d'utiliser https sous des domaines personnalisés (comme www.monsite.com), ils doivent être sous le (mysite. appspot.com) domaine.

Je suis coincé ici - comment pouvons-nous envoyer des mots de passe en toute sécurité? Si j'utilisais php, je pense que je pourrais utiliser l'authentification digest (je ne suis pas trop expérimenté ici) - pouvons-nous faire quelque chose comme ça avec gwt + gae?

Merci

Answer 1

données de session sont stockées sur le serveur, et non sur le client - seulement un jeton opaque est envoyé au client pour identifier la session du client.

Cela dit, vous ne devriez probablement pas stocker le mot de passe de l'utilisateur dans la session - pourquoi voudriez-vous? - ou, en effet, en clair du tout.