java - 如何确保 http 请求来自特定用户？

Question

我正在为一个网站编写附加服务，它利用现有的登录行为，同时需要用户提供一些额外的注册详细信息。新服务在不同的子域中运行。

用户将能够在我的数据 Web 应用程序上创建资源，这些资源必须针对该用户的数据集合进行保存。

我希望这个用户标识符将在 http 请求的正文中传递给 webapp。但是，我担心恶意攻击可能会重写正文中的用户名，使请求看起来像是来自其他用户。

我该怎么做才能使它更安全？ (这算作 CSRF 攻击吗？)

新服务是用 Java 和 Spring 3 编写的。

Answer 1

您永远无法确保 http 请求来自特定用户，您只能尝试验证用户和请求。通常这是通过在登录或身份验证过程中创建票证，然后在后续请求中要求该票证来完成的。然后，您可以将票与用户匹配并接受它是有效的。票证在一段时间不活动后过期，需要用户重新登录。