使用 Struts2 标签处理会话是否安全答案

【问题标题】：Is it safe to handle session with Struts2 Tags使用 Struts2 标签处理会话是否安全
【发布时间】：2014-06-17 07:18:01
【问题描述】：

我正在使用一些 Struts2 标记和 OGNL 来验证将在 <div> 标记中显示的内容

<s:if test="%{#session.User.getProfile()=='Admin'}">
    //SHOW SOMETHING RELATED WITH ADMINS
</s:if>
<s:else>
       //SOMETHING RELATED WITH NORMAL USERS                
</s:else>

这太简单了，我不知道它是否安全，或者我应该使用更好的技术来实现我想要做的事情

【问题讨论】：

为管理员和其他用户创建单独的页面...
不是所有的事情都应该是困难的，你知道的。 :) 安全是什么意思？
@AleksandrM Ahah true，亲吻范式 FTW :)
除非你做错了什么，否则用户不能修改他们自己的会话。你也可以使用像 Spring Security 这样的东西，它有多种实现方式。

标签： jsp struts2 ognl

【解决方案1】：

如果从客户端访问，您在上下文中使用的会话映射受框架保护。在服务器端，OGNL 以普通方式使用它。因此，您不必担心它，但为了避免其他可能的漏洞，您最好使用任何安全框架或 servlet 安全性。 Struts2 为PrincipalAware 操作提供了一种安全性的东西，您可以使用它来代替将模型对象视为安全性。

【讨论】：