- SAP Cloud for Customer和Hybris Co
- SAP标准培训课程C4C10学习笔记(一)第一单元
- SAP Hybris Commerce启用customer co
- SAP Analytics Cloud里看到的SAP C4C的q
- SAP Commerce Cloud 新一代 UI Sparta
- 如何创建URL Mashup并插入到SAP Cloud for
- 如何创建HTML Mashup并插入到SAP Cloud for
- SAP Cloud for Customer和SAP Fiori
- SAP Cloud for Customer里Sales Ord
- 使用SAP Analytics Cloud统计SAP C4C系统
C4C in ABAP
参阅Jerry的SAP社区博客:
Regarding cookie manipulation in CL_HTTP_CLIENT to avoid CSRF token validation failure issue
Hybris
这个HybrisSessionFixationProtectionStrategy是个什么东东?
Spring里自带了一个SessionFixationProtectionStrategy:
Session fixation attack(会话固定攻击)是利用服务器的session不变机制,借他人之手获得认证和授权,然后冒充他人。如果应用程序在用户首次访问它时为每一名用户建立一个匿名会话,这时往往就会出现会话固定漏洞。然后,一旦用户登录,该会话即升级为通过验证的会话。最初,会话令牌并未被赋予任何访问权限,但在用户通过验证后,这个令牌也具有了该用户的访问权限。
防止会话固定攻击,可以在用户登录成功后重新创建一个session id,并将登录前的匿名会话强制失效。
Hybris的做法:继承了HybrisSessionFixationProtectionStrategy,override了onAuthentication:
在第135行将之前的session强制失效。
这个实现的位置:
要获取更多Jerry的原创文章,请关注公众号"汪子熙":
网友评论