Recherche d'une conception de session simple et sécurisée avec des servlets et JSP

Question

Je travaille sur une application Web intranet uniquement (J2EE) qui nécessite certaines fonctions de sécurité de base. Il y aura relativement peu d'utilisateurs autorisés pour le site, mais j'ai encore besoin de mettre en place une sorte de session sécurisée.

Le flux de base que je regarde est de visiter le site => se connecter => utiliser le site => se déconnecter lorsque vous avez terminé (ou se déconnecter automatiquement lorsque le navigateur est fermé). Rien d'extraordinaire, pas même une option "remember me" lors de la connexion. La plupart du travail pour l'authentification est déjà fait - le site est accessible uniquement sur https, et j'ai une base de données qui stocke les noms d'utilisateur et les mots de passe cryptés. Donc, une fois que l'utilisateur s'est connecté, quel est le plus simple (idéalement, pas de cookies au-delà de ce que JBoss/JSP ferait en coulisse) pour mettre en place une session sécurisée? C'EST À DIRE. Est-ce qu'il suffit de vérifier la session pour une valeur similaire à "isUserAuthenticated", en vérifiant que la session existe (par ex. request.getSession(false)) pour toutes les demandes entrantes dans mon servlet? Qu'en est-il d'empêcher les utilisateurs d'obtenir des fichiers JSP et de les forcer à utiliser une servlet pour toutes les demandes? D'autres considérations (et leurs solutions)?

Answer 1

On dirait que vous pouvez utiliser une approche de sécurité déclarative simple.

Jetez un oeil à Java EE section Tutoriel pour Securing Web Applications, en particulier à declarative security section

Pour répondre à vos questions spécifiques:

Quelle est la plus simple ... façon de mettre en œuvre une session sécurisée? C'EST À DIRE. empêcher les utilisateurs de seulement directement pages demandant au-delà de l'écran de connexion, etc.

Déclarez vos URL dans le descripteur webapp (web.xml) avec un rôle de sécurité approprié. Ils seront inaccessibles aux utilisateurs non autorisés (et tenter d'y accéder fera apparaître une page de connexion).

Est-il juste une question de vérifier la session pour certains « isUserAuthenticated » valeur -comme, vérifier que la session existe (par exemple request.getSession (false)) pour toutes les requêtes entrantes dans mon servlet ?

Tout cela sera complètement inutile; Le conteneur de servlet le fera pour vous dans les coulisses.

Qu'en est-il d'empêcher les utilisateurs de obtenir les fichiers JSP et les forçant à utiliser un servlet pour toutes les demandes?

Tant que jamais besoin d'JSPs sont accessibles au public (par exemple, vous transférez les à partir de votre servlet, vous n'êtes jamais rediriger à une JSP), vous pouvez déclarer leurs URL dans une collection avec la sécurité rôle qui n'est jamais réellement affecté à un utilisateur.