java - GWT GAE Java 应用程序的这种 GWT/RPC 安全方法有多安全？

Question

一旦用户登录，我创建一个 Java session 并将他们的 userid 和 sessionid (sid) 存储在 session 中，这两个参数被发送到 GWT 客户端，它们存储在一个基本的 GWT 客户端呈现器中(不像 cookies )。我正在使用 MVP 架构。

此后为切断那里所做的每个调用都使用这两个参数 userID 和 SID 发送，所以我在服务器上验证这一点，服务器上的当前 session 等于提供的 session ID，并且它属于给定的用户 ID。

如果一切正常，我才会进一步处理 RPC 请求。

另外，我计划让我所有的 RPC 处理程序扩展一个通用的 RPC 处理程序，它将接受这些参数。

我是 GWT 和 GAE 的新手，非常感谢任何帮助。

谢谢。

Answer 1

使用 SSL 并在每个请求的负载中发送 session ID 是两个很好的第一步。这LoginSecurityFAQ提供了详细的解释。