是否可以使用客户端漏洞查看HttpSession属性？

Question

我最近开始维护一个在线系统。它在前端使用JSF，前端使用PrimeFaces，后端使用Java。JSF对我来说是一种新技术。

xhtml

<p:inputText id="username" value="#{userBean.userName}" name="username"></p:inputText>
<p:password id="password" value="#{userBean.password}"></p:password>
<p:commandButton id="loginSubmit" value="Login" action="#{userBean.auth}"></p:commandButton>

UserBean.java

@ManagedBean(name = "userBean")
@SessionScoped
public class UserBean {
    public String auth() {
        // ...
        FacesContext fctx = FacesContext.getCurrentInstance();
        HttpSession session = (HttpSession) fctx.getExternalContext().getSession(true);
        HashMap<Long, UserDetail> usersMap = dbBean.getAllUserDetails();
        session.setAttribute("usersMap", usersMap);
        // ...
    }
}

Answer 1

虽然评论回答了你的问题，但让我们总结一下：

• 会话存储在服务器端，任何客户端黑客都无法访问这些数据，除非它利用JSF入侵的安全缺陷，这是非常罕见的
• 如果黑客能够攻击服务器组件，那么只要用户数据没有存储在用户会话中，他就一定能够从数据库访问用户数据
• 您的担忧是可以理解的，但您应该关注用户代码缺陷或已知库缺陷，而不是应用程序设计