限制对web应用程序的访问

restrict access to to web Application

本文关键字：访问应用程序 web 更新时间：2023-10-06

我有一个在Eclipse中开发的JSP web应用程序，作为一个动态web项目。

我们使用调用我的应用程序的第三方web应用程序，我需要验证只有来自该应用程序的请求才能在我的应用中创建新会话。

我正在尝试使用javascript来完成这项工作，并认为，作为最后的资源，使用Filter类来了解请求的来源并定义行为。

问题是，用户要求在客户端完成操作，这意味着我必须使用javascript或类似的东西，我读过JS上的document.referrer，但到目前为止控制台上没有显示任何内容。

在客户端中使用JS处理会话的任何操作都不安全，因为恶意用户很容易修改它。此外，使用referer或任何其他http头参数都是不安全的，因为它们也很容易被欺骗。

如果这个第三方应用程序直接调用你的应用程序，我想你对它有一定程度的控制。你能访问和修改它的源代码吗？还是你只是使用配置参数？

理想情况下，第三方应用程序将在向应用程序发出的每个请求上使用身份验证令牌。这些身份验证请求以及所有会话处理逻辑将始终在服务器端处理。