java - 在 Extjs/Java 应用程序上实现安全性的最佳实践

Question

所以我在私有(private)服务器和网络上部署了一个 ExtJs/Java 应用程序并且不需要实现安全性，但现在我被要求将该应用程序部署在云上，到目前为止选择 OpenShift(Red Hat Cloud)太好了......但我一直想知道如何实现安全......我曾经使用 spring security core(使用 Grails)，但我的应用程序数据库是 CouchDB(实际上使用 CloudAnt 服务)并且连接它似乎既不容易也不自然......

你会推荐什么？

现在让我们说 http:re-hat-something-else/myapp/mybussinesinterface.html 我不想显示，除非你登录了，所以假设我已经有了mylogin.html 假设我已经有一个验证用户身份的业务方法，在 localstorage 中存储一个 token 是否正确，该 token 会告诉我用户是否通过登录页面验证是否有人正在尝试直接打开 http:re-hat-something-else/myapp/mybussinesinterface.html

当然，我还必须为我所有的后端方法添加额外的安全措施，以验证没有人试图直接执行它们......

有什么想法吗？

提前致谢

Answer 1

通常，保护其内容免受未经授权的用户访问是服务器的工作。如果将 JavaScript 提供给未经授权的客户端，则一切都将失败。 Java REST API 也是如此:如果它暴露给未经授权的客户端，则一切都将失败。显然，服务器需要同时保护 Java 和 JavaScript 资源。

您正在某种容器(Tomcat、JBoss 等)中运行您的应用程序。您提出的问题最好通过在容器级别实现某种安全措施来回答。例如，如果您使用 shiro使用 JBoss，这就像实现一个 servlet 过滤器一样简单，该过滤器会拒绝未经授权的用户访问您的应用程序。我相信您可以使用 Tomcat 做类似的事情。

哦，请确保您知道“授权”和“验证”之间的区别。很可能没有其他人真正理解它，您需要向他们解释。 (如果他们确实理解其中的区别，那就算你幸运了。)