SAP Cloud for Customer和Hybris Commerce的session保护机制
2023-09-14 09:02:59 时间
C4C in ABAP
参阅Jerry的SAP社区博客:
Regarding cookie manipulation in CL_HTTP_CLIENT to avoid CSRF token validation failure issue
https://blogs.sap.com/2017/08/04/regarding-cookie-manipulation-in-cl_http_client-to-avoid-csrf-token-validation-failure-issue/
Hybris
这个HybrisSessionFixationProtectionStrategy是个什么东东?
Spring里自带了一个SessionFixationProtectionStrategy:
Session fixation attack(会话固定攻击)是利用服务器的session不变机制,借他人之手获得认证和授权,然后冒充他人。如果应用程序在用户首次访问它时为每一名用户建立一个匿名会话,这时往往就会出现会话固定漏洞。然后,一旦用户登录,该会话即升级为通过验证的会话。最初,会话令牌并未被赋予任何访问权限,但在用户通过验证后,这个令牌也具有了该用户的访问权限。
防止会话固定攻击,可以在用户登录成功后重新创建一个session id,并将登录前的匿名会话强制失效。
Hybris的做法:继承了HybrisSessionFixationProtectionStrategy,override了onAuthentication:
在第135行将之前的session强制失效。
这个实现的位置:
要获取更多Jerry的原创文章,请关注公众号"汪子熙":
相关文章
- 关于 SAP UI5 Web Components
- SAP UI5 应用中的 sap.ui.require.toUrl 使用场景
- SAP UI5 sap.ui.Device.media 的使用介绍
- 如何打通 SAP Cloud for Customer 系统和微信公众号的双向消息通信功能
- 使用 Azure SNAT 为 SAP Commerce Cloud 的 outbound connection 进行端口映射
- SAP 云平台从 Neo 到 Multi-Cloud 的演化历史
- SAP MM 物料移动平均价的修改历史
- SAP UI5 响应式表格 sap.m.Table 根据不同宽度的屏幕动态决定显示或隐藏 Column 的实现源代码讲解试读版
- 如何用 SAP Commerce Cloud CMS API 批量返回多个 CMS Component 数据
- 关于 SAP Commerce Cloud 构建的 Node.js 版本号问题
- SAP 应用服务负载均衡的实现详解编程语言
- 如何通过ABAP程序添加SAP_ALL权限详解编程语言
- SAP中的F4帮助详解编程语言
- SAP 跨工厂采购订单交易(两工厂都要看出收入和成本)详解编程语言
- SAP批量锁定用户详解编程语言
- SAP MM批次管理(5)货架寿命、保质期–大海详解编程语言
- SAP R3详解编程语言
- SAP query传输以后需要重新生成程序详解编程语言
- SAP vs Oracle:差异点与解析(sap和oracle的区别)
- cloud提升客户效率,尽享Oracle Cloud服务优势(客户寄售oracle)
- 系统Oracle公司收购SAP系统开启新的商业时代(Oracle公司sap)
- 缓存使用SAP创建Redis缓存,实现高效稳定加速(sap如何创建redis)
- 使用Oracle与SAP进行数据接口开发(oracle sap接口)