Recherche de l'hôte hôte du serveur demandé?

Question

J'ai une application (application client) hébergée sur un serveur Tomcat et cette application doit être intégrée en tant qu'onglet dans une autre application (application parente). Dans l'application Parent, l'authentification de l'utilisateur est terminée. Dans l'application Parent Html, nous utilisons iframe pour intégrer le client. Tout fonctionne bien sauf cela. Le problème est que si quelqu'un connaît l'URL, il peut accéder à l'application cliente. Comment pouvons-nous éviter cela? Nous utilisons JAVA, SERVLET, HTML, Tomacat comme technologies.

Merci :)

Answer 1

L'une des solutions possibles est l'authentification par jeton. L'application parente doit ajouter un jeton spécial en tant que paramètre d'URL ou en-tête HTTP. Le jeton doit contenir des informations d'authentification sous forme cryptée. L'application "Client" doit extraire les informations et décider si l'authentification a réussi ou échoué. Afin de garantir que personne ne peut copier ce jeton et obtenir un accès non authentifié à votre application, vous devez rendre le jeton unique ou limité dans le temps.

Answer 2

Depuis l'application parent ajouter cookies et de l'application de l'enfant obtenir que cookies et valider l'utilisateur. (Si les deux sont en cours d'exécution sur le même domaine).

Answer 3

Vous pouvez également utiliser des options de cadres dans votre en-tête. J'ai trouvé cet article avec quelques recherches rapides: http://www.jtmelton.com/tag/x-frame-options/

Cela empêchera votre application de se charger dans les cadres, sauf pour les domaines auxquels vous autorisez. Vous pourriez vérifier dans la compatibilité du navigateur, je ne suis pas sûr quand cela a été mis en œuvre dans différents navigateurs.

En outre, vous pouvez vérifier les champs d'en-tête «hôte» et «référant» pour vérifier que les demandes proviennent d'un domaine auquel vous faites confiance avant d'envoyer une réponse.

OAuth est la norme pour l'autorisation d'applications tierces. Vous devriez vérifier cela comme une approche d'authentification.

Aucun de ceux-ci ne vous donnera une application complètement sécurisée. Vous devriez envisager de consulter un expert en sécurité.