JSF 2.3 中使用 CDI 的 session 固定和 session 范围 Bean

Question

在用户登录时更新 HTTP session 是常见的最佳实践。这将强制使用新的 session ID，从而避免 session 固定漏洞。

当涉及 @SessionScoped beans 时，是否有使用 CDI 实现此功能的首选模式？困难在于，通过使当前 HTTP session 无效，您将在下一个请求中获得不同的 session 范围 bean，但直到下一个请求为止。

例如，假设一个 session bean 用于存储用户登录信息:

@Named("sessionbean")
@SessionScoped
public class SessionBean implements Serializable {
    private int userId;
    private String username;
    private List<String> privileges;

    // Accessors omitted 
}

还有另一个用于管理登录的 bean:

@Named("loginbean")
@ViewScoped
public class LoginBean implements Serializable {

    private String username;
    private String password;
    @Inject private SessionBean session;
    @Inject private SessionManager sessionManager;
    @Inject private PrivilegeManager privilegeManager;      

    public String doLogin() {
        String destinationUrl;

        if (validate(username, password)) {
            FacesContext context = FacesContext.getCurrentInstance();

            // force renewal of HTTP session
            context.getExternalContext().invalidateSession();

            // retrieve new session bean  ** No longer works with CDI **
            Application app = context.getApplication();
            session = app.evaluateExpressionGet(context, "#{sessionbean}", SessionBean.class);

            session.setUsername(username);
            session.setSessionId(sessionManager.createNewSession(username));
            session.setPrivileges(privilegeManager.getPrivileges(username));

            destinationUrl = createLandingPageUrl();

        } else {
            destinationUrl = createFailureUrl("Unknown user or password");
        }

        return destinationUrl;
    }
}

使用托管 Bean，这将检索一个新的 SessionBean，但使用 CDI，上面的代码将仅返回相同的 SessionBean。有什么建议或巧妙的想法吗？

Answer 1

The difficulty is that by invalidating the current HTTP session, you'll then get a different session-scoped bean with the next request, but not until the next request.

然后不要使 session 无效，而是更改 session ID。换句话说，不要使用 HttpSession#invalidate() ，但使用 HttpServletRequest#changeSessionId() (自 Servlet 3.1 以来的新功能，鉴于您使用的是 JSF 2.3，您无疑应该已经在使用它)。

在代码中，替换

// force renewal of HTTP session object
context.getExternalContext().invalidateSession();

由

// force renewal of HTTP session ID
((HttpServletRequest) context.getExternalContext().getRequest()).changeSessionId();

这基本上改变了 JSESSIONID cookie，而不改变 HttpSession。它非常适合预防 session 固定。

显式使 session 无效通常仅在注销期间有用。