GSA cookie 破解器，可以被 Java 中的 getRemoteUser() 破坏吗？

Question

我有一个连接到 GSA 以获取搜索结果的 Java 前端应用程序。 GSA 配置为使用此应用程序前端的 cookie 破解程序。

一般来说，Java 应用程序可以覆盖 getRemoteUser() 并返回一个用户名作为会话中的用户。在开发中，我们可以通过这种方法模拟另一个用户，并在生产中以该用户的身份搜索结果。

从这个意义上说，它看起来像是一个安全漏洞。任何人都可以建议这是否是一个错误的设计，是否有任何推荐的解决方案？

Answer 1

当您使用 cookie 破解时，您相信您的应用程序编写得很好，而不是试图破坏安全性。

如果最终用户可以更改标头信息，那将构成安全漏洞。在我看来，如果搜索应用程序的开发人员可以冒充一个安全漏洞较少但与开发人员打交道的问题较多的人。如果 GSA 管理员不信任开发人员，那么他们不应将 cookie 破解作为解决方案。