SAP Cloud for Customer和Hybris Commerce的session保护机制

  1. 云栖社区>
  2. 汪子熙>
  3. 博客>
  4. 正文

SAP Cloud for Customer和Hybris Commerce的session保护机制

jerrywangsap 2020-03-01 19:14:55 浏览308
展开阅读全文

C4C in ABAP

参阅Jerry的SAP社区博客:

Regarding cookie manipulation in CL_HTTP_CLIENT to avoid CSRF token validation failure issue

https://blogs.sap.com/2017/08/04/regarding-cookie-manipulation-in-cl_http_client-to-avoid-csrf-token-validation-failure-issue/

Hybris

这个HybrisSessionFixationProtectionStrategy是个什么东东?
Spring里自带了一个SessionFixationProtectionStrategy:

Session fixation attack(会话固定攻击)是利用服务器的session不变机制,借他人之手获得认证和授权,然后冒充他人。如果应用程序在用户首次访问它时为每一名用户建立一个匿名会话,这时往往就会出现会话固定漏洞。然后,一旦用户登录,该会话即升级为通过验证的会话。最初,会话令牌并未被赋予任何访问权限,但在用户通过验证后,这个令牌也具有了该用户的访问权限。

防止会话固定攻击,可以在用户登录成功后重新创建一个session id,并将登录前的匿名会话强制失效。
Hybris的做法:继承了HybrisSessionFixationProtectionStrategy,override了onAuthentication:

在第135行将之前的session强制失效。

这个实现的位置:

本文来自云栖社区合作伙伴“汪子熙”,了解相关信息可以关注微信公众号"汪子熙"。

网友评论

登录后评论
0/500
评论
jerrywangsap
+ 关注
所属团队号: 汪子熙