在 JSP 中处理页面导航的最佳策略

Question

我正在探索 JSP 来实现动态网页。要解决的一个问题是页面之间的导航。用户可以在他们的浏览器中来回切换。

这必须处理。如果有人注销（例如），我们不希望其他人通过单击“返回”来检索会话或数据。另一个例子是我们不想重新提交表单两次。

我正在寻找解决页面导航问题的提示和建议。我想创建一个必须处理的问题列表 + 可能的解决方案：

问题：

• 确保无法通过返回/前进点击来检索/劫持会话
• 确保表单没有提交两次
• 确保用户无法使用 cookie 或 URL 数据或隐藏字段来破坏控制流和安全性

解决方案：

• 实现一组已访问页面
• 当一个页面被调用时，注册它的显示时刻以区分新请求和“返回”
• 控制当前会话

P.S.：我看过这个question，但没有真正的答案。

Answer 1

确保无法通过返回/前进点击来检索/劫持会话

这些页面中只有disable browser cache。另见Prevent user from seeing previously visited secured page after logout。

---

确保表单没有提交两次

生成一个长的、唯一的、无法猜测的字符串，将其存储在两个会话中..

String token = UUID.randomUUID().toString();
((Set<String>) session.getAttribute("tokens")).add(token);
request.setAttribute("token", token);
request.getRequestDispatcher("/WEB-INF/page.jsp").forward(request, response);

.. 并作为表单的隐藏输入字段。

<input type="hidden" name="token" value="${token}" />

提交后，比较并删除会话中的密钥。如果它在会话中，则继续提交。

if (((Set<String>) session.getAttribute("tokens")).remove(request.getParameter("token")) {
    // Valid token. Proceed with submit.
} else {
    // Invalid token. Possible double submit.
}

---

确保用户不能使用 cookie 或 URL 数据或隐藏字段来破坏控制流和安全

自己编写健壮的代码或使用现有的健壮的 MVC 框架，如 JSF2、Spring-MVC、Struts2 等。

---

解决方案：

• 实现一个已访问页面的堆栈
• 当一个页面被调用时，注册它显示的时间来区分新的请求和“返回”
• 控制当前会话

麻烦。

Answer 2

为了防止重复提交，我将使用一个使用 HttpSession 的示例 Apache Struts 1。

Struts 所做的是生成一个随机令牌，该令牌存储在会话中并添加到表示层 (JSP) 的表单页面中。当用户提交表单时，它会从会话中检查表单给出的令牌是否与会话中的会话完全相同。如果为真，则处理请求，否则为双重提交。

例子：

public class AuthenticationAction extends Action {

    public void displayLogout(ActionMapping mapping, ActionForm form,
                        HttpServletRequest request, HttpServletResponse response) throws Exception {

        saveToken(request);
        return mapping.findForward("displayLogout");
    }

    public ActionForward doLogout(ActionMapping mapping, ActionForm form,
                        HttpServletRequest request, HttpServletResponse response) throws Exception {

        if (isValidToken(request)) {
            //It wasn't yet a double submission, delete token generated by Struts
            resetToken(request);
            //logout.
            ...
            //return back home
            return mapping.findForward("home");
        } else {
            //Double submission..
            throw new Exception("double submission");
        }
    }
}

找到更好的教程here。

Answer 3

嗯，如果你愿意，你也可以使用 Spring Webflow 框架，但是使用 back 和 refresh 不提交表单两次可以通过定义控制器权限轻松解决。我认为使用 REST 也可以帮助解决一些问题。

隐藏字段操作是另一回事，因为始终可以在页面源中查看隐藏字段。如果可以查看该字段，则可以对其进行操作。

Answer 4

为避免重新发明轮子，使用现有框架似乎是最佳解决方案。 Struts 看起来是个不错的选择。简单介绍tutorial即可。