sessions og autentisering med servlets

[BlackH]

Hei, noen som vet hva beste praksisen er ved bruk av sessions i forbindelse med avgrensa medlemssider?

 

Bruker tomcat 5.5 og mysql 5. (ett eller annet).

 

Når brukeren logger inn, så blir han/hun autentisert via en mysql database. Det jeg lurer på er hvordan jeg skal bruke sessions for å holde på denne login'n etterpå uten at det går utover sikkerheten.

 

Jeg kan alltids lagre brukernavnet/id-nummer til brukeren i en cookie, men å kun bruke denne infoen for videre autentisering regnes vel ikke akkurat for å være sikkert? Det genereres derimot en cookie id jeg sikkert kan bruke, men vet ikke hvordan jeg skal implementere det i så fall.

 

Hva er beste fremgangsmåte?

[w3edr5t]

Mange bruker direkte eller indirekte metodene i HttpSession:

Object getAttribute(String)

void setAttribute(String, Object)

 

Når brukerens brukernavn/passord er godkjent benytter du setAttribute metoden til å lagre f.eks et brukernavn eller et "User"objekt i sesjonen.

Ved forespørsel til alle beskyttede sider benytter du getAttribute metoden for å hente ut samme brukernavn/objekt. Hvis dette mangler er brukeren ikke logget inn, og du kan videresende til en innloggingsside. Hvis brukeren er logget inn kan du benytte informasjon fra "User" objektet i den videre prosesseringen. Ved utlogging kan du f.eks benytte removeAttribute.

 

Denne mekanismen bruker session-cookies og brukeren må ha på cookies for at dette skal fungere. "User" objektet vil være lagret på serversiden og ingen brukere kan se denne informasjonen.

 

Denne metoden er ikke nødvendigvis sikker nok for tjenester som er kritiske pga fare for session-hijacking. Den kan forsterkes ved å sette ekstra cookies med hash av f.eks ipadresse/browserid/etc.

 

Lykke til!

Endret 18. oktober 2006 av w3edr5t

[BlackH]

Mange bruker direkte eller indirekte metodene i HttpSession:

Object getAttribute(String)

void setAttribute(String, Object)

 

Når brukerens brukernavn/passord er godkjent benytter du setAttribute metoden til å lagre f.eks et brukernavn eller et "User"objekt i sesjonen.

Ved forespørsel til alle beskyttede sider benytter du getAttribute metoden for å hente ut samme brukernavn/objekt. Hvis dette mangler er brukeren ikke logget inn, og du kan videresende til en innloggingsside. Hvis brukeren er logget inn kan du benytte informasjon fra "User" objektet i den videre prosesseringen. Ved utlogging kan du f.eks benytte removeAttribute.

 

Denne mekanismen bruker session-cookies og brukeren må ha på cookies for at dette skal fungere. "User" objektet vil være lagret på serversiden og ingen brukere kan se denne informasjonen.

 

Denne metoden er ikke nødvendigvis sikker nok for tjenester som er kritiske pga fare for session-hijacking. Den kan forsterkes ved å sette ekstra cookies med hash av f.eks ipadresse/browserid/etc.

 

Lykke til!

7094658[/snapback]

 

 

Ah... takk =) Det oppklarte litt..

 

Jeg har gjort det akkurat slik du sa, men jeg hadde missforstått session saken litt og trodde at brukernavnet ble lagra på klientmaskinen når man brukte setAttribute (noe som ikke ville vært særlig sikkert). Var ikke klar over at denne kun lagres på serveren, og da bruker session id til å finne tilbake til attributen.

 

Glimrende

[w3edr5t]

Her er forresten et eksempel på innholdet i en session cookies fra Tomcat 5.5:

 

JSESSIONID=786A3F12668508E6B51C07B35C02F0E1