我如何相信SiteMinder HTTP标头没有被篡改？

Question

一般来说，我对SiteMinder和SSO完全陌生。我整个下午都在SO和CA的网站上搜寻一个基本的例子，但都找不到。我不在乎设置或编程SM或诸如此类的东西。所有这些都已经由其他人完成了。我只想调整我的JS web应用程序，以使用SM进行身份验证。

我知道SM会添加一个HTTP头，其中包含一个密钥，比如SM\u USER，它会告诉我用户是谁。我不明白的是--是什么阻止任何人自己添加这个标题并完全绕过SM？我必须在服务器端代码中输入什么来验证SM\u用户是否真的来自SM？我想涉及安全cookies。。。

Answer 1

所有Siteminder架构确实都假设应用程序只需信任“SM\uu”头。

实际上，这可能还不够，具体取决于您的应用程序的架构。基本上，您有3种情况：

• Web代理安装在应用程序运行的Web服务器上（Apache/PHP应用程序的典型情况）：如上所述，您可以信任标头，因为没有Web代理过滤，任何请求都无法到达应用程序
• Web代理安装在与应用程序运行的Web服务器不同的Web服务器上，但安装在同一台机器上（典型情况：SM代理安装在为JEE应用程序服务器提供服务的Apache前端）：您必须确保没有任何请求可以直接到达应用程序服务器。要么将应用程序服务器绑定到环回接口，要么过滤服务器上的端口
• Web代理在应用程序前面的反向代理上运行。同样的评论。这里唯一的解决方案是在应用程序上实现一个IP过滤器，以便只允许来自反向代理的请求

Answer 2

因为所有流量都应该通过Siteminder Web Agent，所以即使用户设置了此标头，它也会被覆盖/删除

Answer 3

安装在Web服务器上的SM Web代理旨在拦截所有流量并检查资源请求是否。。。

>

受SiteMinder保护

如果用户具有有效的SMSESSION（即已验证）

如果1和2为true，则WA将检查Siteminder策略服务器，以查看用户是否有权访问请求的资源。

为了确保没有用户信息的HTTP头注入，SiteMinder WebAgent将重写所有特定于SiteMinder的HTTP头信息。本质上，这意味着您可以“信任”WebAgent提供的有关用户的信息，因为它是由Web Agent在服务器上创建的，而不是传入请求的一部分。