java - 在 Java servlet 中显式管理 session 以保护 Web 应用程序

Question

我正在开发一个安全的网络应用程序。我必须开发一个 servlet 来自定义控制其访问。

例如，我有一个完全开放的 home.jsp，一个依赖于 URL 模式的 content.jsp。

如果是 GET content.jsp，则应该完全打开以显示内容列表。如果是content.jsp?chapter=1&detail=true，则应该检查用户是否登录，只有用户有适当的访问权限，才会授予权限，否则重定向到登录页面。

我对 Java 中的 JSESSIONID 管理感到困惑。默认情况下，如果没有 session ，任何 JSP 都会自动创建一个 session 。我知道我可以使用 @page session="false"来覆盖其默认行为。

所以，我想逻辑会是这样的

1. 如果用户(尚未登录)获取 home.jsp，我不应该在 servlet 中创建任何 session 。但 JSP 应该创建一个。我发现在HTTP请求头中，它有JSESSIONID值发送过来。但是，为什么在服务器端，我无法通过 httpServletRequest.getSession(false) 返回任何 session ？

2. 如果用户想要GET content.jsp?chapter=1&detail=true，我会将其重定向到logon.jsp。提交登录表单后，我应该使用 httpServletRequest.getSession(true) 在服务器端(返回之前)创建一个新 session 吗？任何后续 JSP 页面访问都会创建新 session 吗？

3. 当用户注销时，我必须调用 session.invalidate() 使其无效。但是，任何后续的 JSP 页面都会创建新的 session id 吗？

我只是感到困惑

 When should I call getSession(true) and getSession(false)? I assume per user session, I should call getSession(true) once.
 Which session id should I use (trust) to identify if the user is truly logged on? 

谢谢。

Answer 1

session 和访问控制没有太多共同点。未经身份验证的用户可能拥有 session 。例如，它仅用于存储偏好设置就很有用。

经过身份验证后，您可以保留相同的 session ，但将用户的身份及其授权存储在 session 中。您应该将 session 视为可以存储给定用户属性的位置，该属性将在其与您的 Web 应用程序的 session 期间持续存在。

要恢复， session 的存在并不意味着用户已通过身份验证。您的身份验证机制在 session 中存储的某些“已验证”标志或 session 中的某些身份的存在是您必须检查的内容，以了解用户是否已通过身份验证。