限制对 Web 应用程序的访问

【问题标题】：restrict access to to web Application限制对 Web 应用程序的访问
【发布时间】：2016-07-18 23:24:50
【问题描述】：

我有一个在 Eclipse 中作为动态 web 项目开发的 JSP webapp。

我们使用调用我的应用程序的第三方 Web 应用程序，我需要验证是否只允许来自该应用程序的请求在我的应用程序中创建新会话。

我想用 javascript 来做这件事，并认为作为最后一个资源，使用 Filter 类来了解请求来源并定义行为。

问题是用户要求操作在客户端完成，这意味着我必须使用 javascript 或类似的，我已经阅读了关于 JS 上的 document.referrer，但到目前为止控制台上没有显示任何内容。

【问题讨论】：

【解决方案1】：

您在客户端中使用 JS 处理会话的任何操作都不安全，因为它很容易被恶意用户修改。此外，使用引用或任何其他 http 标头参数是不安全的，因为它们也很容易被欺骗。

如果这个第三方应用程序直接调用您的应用程序，我想您对它有一定程度的控制。您可以访问和修改其源代码还是仅使用配置参数？

理想情况下，第三方应用程序会在向您的应用程序发出的每个请求上使用身份验证令牌。并且这些身份验证请求以及所有会话处理逻辑将始终在服务器端处理。

【讨论】：

你说我无法控制你是对的。我没有办法修改第三方源代码，我决定应用Filter的Filter Class extend。并将引用放入 web.xml 以获取所有 httpRequest 并通过代码处理以下行为。谢谢你的回答。