JSF2.3中使用CDI的会话固定和会话范围bean

Question

在用户登录时续订HTTP会话是常见的最佳做法。这将强制使用新的会话ID，从而避免会话固定漏洞。

当涉及@SessionScoped bean时，是否有使用CDI实现此功能的首选模式？困难在于，通过使当前HTTP会话无效，您将在下一个请求中获得不同的会话范围bean，但直到下一个请求。

例如，假设一个用于存储用户登录信息的会话bean：

@Named("sessionbean")
@SessionScoped
public class SessionBean implements Serializable {
    private int userId;
    private String username;
    private List<String> privileges;

    // Accessors omitted 
}

和另一个用于管理登录的bean：

@Named("loginbean")
@ViewScoped
public class LoginBean implements Serializable {

    private String username;
    private String password;
    @Inject private SessionBean session;
    @Inject private SessionManager sessionManager;
    @Inject private PrivilegeManager privilegeManager;      

    public String doLogin() {
        String destinationUrl;

        if (validate(username, password)) {
            FacesContext context = FacesContext.getCurrentInstance();

            // force renewal of HTTP session
            context.getExternalContext().invalidateSession();

            // retrieve new session bean  ** No longer works with CDI **
            Application app = context.getApplication();
            session = app.evaluateExpressionGet(context, "#{sessionbean}", SessionBean.class);

            session.setUsername(username);
            session.setSessionId(sessionManager.createNewSession(username));
            session.setPrivileges(privilegeManager.getPrivileges(username));

            destinationUrl = createLandingPageUrl();

        } else {
            destinationUrl = createFailureUrl("Unknown user or password");
        }

        return destinationUrl;
    }
}

对于托管Bean，这将检索一个新的SessionBean，但是对于CDI，上面的代码将只返回相同的SessionBean。有什么建议或聪明的想法吗？

Answer 1

因为我不是安全专家，所以我将把这个答案限制为仅与CDI有关。我也不知道所要求的东西是否是个好主意。不管怎样，我认为你会按照你的要求去做。

用纯粹的CDI术语表达，该问题可以重新表述为：

我知道有一个对象来自特定的上下文。我知道这个上下文产生的对象的生命周期。如何正确地告诉上下文使其正在管理的当前对象无效，并加载或创建一个新对象？

一般做法是：

• @Injecta提供程序

因此，doLogin方法的相关部分可能如下所示（未经测试）：

final AlterableContext context = (AlterableContext) this.beanManager.getContext(SessionScoped.class);
assert context != null;

final Bean<?> bean = beanManager.resolve(beanManager.getBeans(SessionBean.class));
assert bean != null;

context.destroy(bean);

final SessionBean newSessionBean = this.sessionBeanProvider.get();
assert newSessionBean != null;

我认为这应该行得通。

Answer 2

困难在于，通过使当前HTTP会话无效，您将在下一个请求中获得不同的会话范围bean，但直到下一个请求。

然后，不要使会话无效，而是更改会话ID。换句话说，不要使用HttpSession#invalidate（），而是使用HttpServletRequest#changeSessionId（）（自Servlet 3.1以来新增，考虑到您使用的是JSF 2.3，毫无疑问您已经在使用它了）。

在代码中，替换

// force renewal of HTTP session object
context.getExternalContext().invalidateSession();

通过

// force renewal of HTTP session ID
((HttpServletRequest) context.getExternalContext().getRequest()).changeSessionId();

这基本上改变了JSESSIONIDcookie，而不改变Httpsession。它非常适合预防会话固定。

显式使会话无效通常仅在注销期间有用。