Seguridad en aplicación Web

[jorgelo82]

Hola a todos, necesito ayuda de todos ustedes que saben de programación Java, estoy haciendo una aplicación Java para la empresa donde trabajo soy algo novato en esto de la programación, la aplicación es con Netbeans trabaja con Beans, Servlets y JSP la base de datos es en MySQL, ya había hecho otras pero sencillas el problema es que ahora me la estan pidiendo con más seguridad, en mi aplicación tiene una validación de usuario sencilla, esto es que valida en la Base de Datos si existe el usuario y que nivel tiene para saber a que página le da acceso, pero cuando copias la URL de cualquiera de las siguientes páginas y la pegas después en otra página o en una nueva sesión no valida al usuario y eso es lo que quieren que haga que al momento de tratar de entrar a una página directamente pida la validación del usuario nuevamente y honestamente no tengo ni idea de como podría siquiera empezar a hacer esto, si alguien pudiera ayudarme por favor en términos de novato se los agradecería mucho

Muchas gracias a todos

[erlolialo]

Wenas, tienes varias opciones:

1. Utilizar HDIV - http://www.hdiv.org/ para impedir que un usuario modifique la url (en caso de intentar copiar y pegar como dices, hdiv lo detecta y le redirige a una página de error).

2. Utilizar JSF o algún framework que controle la vista, de manera que utilizando variables de sesión o Spring Security o similar te valdría sin necesidad de utilizar HDIV, ya que la url siempre seria: www.loquesea.com/usuarios.jsf, por ejemplo, donde estaria la gestión de usuarios, a diferencia de www.loquesea.com/usuarios.htm?idUser=123 donde un usuario podría cambiar ese 123 por otro id y entrar en el espacio que no le corresponde.

[jorgelo82]

Iniciado por erlolialo

Wenas, tienes varias opciones:

1. Utilizar HDIV - http://www.hdiv.org/ para impedir que un usuario modifique la url (en caso de intentar copiar y pegar como dices, hdiv lo detecta y le redirige a una página de error).

2. Utilizar JSF o algún framework que controle la vista, de manera que utilizando variables de sesión o Spring Security o similar te valdría sin necesidad de utilizar HDIV, ya que la url siempre seria: www.loquesea.com/usuarios.jsf, por ejemplo, donde estaria la gestión de usuarios, a diferencia de www.loquesea.com/usuarios.htm?idUser=123 donde un usuario podría cambiar ese 123 por otro id y entrar en el espacio que no le corresponde.

Muchisimas Gracias voy a checar esta parte del HDIV puesto que parece una solución rápida y mas que nada porque como te comento soy novato en esto, pero me gustaría aprender otras formas de seguridad como lo que me dices del JSF, tendrás algún manual o referencia de algún libro que me ayude a aprender esto?

Muchas gracias nuevamente

[jorgelo82]

Iniciado por erlolialo

Wenas, tienes varias opciones:

1. Utilizar HDIV - http://www.hdiv.org/ para impedir que un usuario modifique la url (en caso de intentar copiar y pegar como dices, hdiv lo detecta y le redirige a una página de error).

2. Utilizar JSF o algún framework que controle la vista, de manera que utilizando variables de sesión o Spring Security o similar te valdría sin necesidad de utilizar HDIV, ya que la url siempre seria: www.loquesea.com/usuarios.jsf, por ejemplo, donde estaria la gestión de usuarios, a diferencia de www.loquesea.com/usuarios.htm?idUser=123 donde un usuario podría cambiar ese 123 por otro id y entrar en el espacio que no le corresponde.

Hola he probado lo que me comentas de HDIV y ha sido un poco difícil instalarlo no se si me podrías decir más o menos decirme como puedo hacerlo con el HDIV o decirme si hay alguna otra forma con los JSP debido a que por el momento no manejo JSF

Pero de todas formas muchas gracias

[erlolialo]

Wenas, la verdad que configurar HDIV es complicado. Ahora mismo no recuerdo manuales ni nada porque hace mucho que no lo toco ya que trabajo con JSF. Si no recuerdo mal, había que encabezar los jsp con:

Código:

<%@ taglib prefix="c" uri="http://www.hdiv.org/jsp/jstl/core" %>
<%@ taglib prefix="form" uri="http://www.hdiv.org/spring/tags/form" %>

Para utilizar las etiquetas c y form con hdiv. Y ya solo falta configurarlo con xml. Recuerdo poner parrafadas enteras de configuracion hdiv, así que intenta encontrar alguna página donde vengan esos xml.

Respecto al tema de JSF, de manuales y eso tampoco conozco. Si utilizas Spring, JSF viene a ser lo mismo, sólo que en vez de tener un nombreApp-servlet.xml tienes un faces-config.xml donde controlas la navegación, y además ya no necesitas command porque puedes mapear datos directamente desde el controlador. En cada controlador de la vista tienes un método init() y un destroy() (es como el get y el post). Entonces en tu página jsf puedes tener por ejemplo:

Código:

<h:outputText value="#{userBean.getUsuario}"/>

y entonces tendrias que tener un controlador llamado UserBean donde tendrías un método que devuelva un usuario, el cual se muestra por pantalla. En este caso se ejecutará init(), luego getUsuario, y más tarde destroy(). Entiendo que hay mil manuales y cada uno de su padre y de su madre, pero con paciencia se acaba sacando, animo!