別のWebアプリケーションにリダイレクトすると、セッションに格納された値が公開されます

Question

JSFフレームワークに基づいてJBossサーバー上で実行されているWebアプリケーションがあります。 リクエストを、他のサーバーや地理的に位置する他のマシンで実行されているまったく新しいWebアプリケーションにリダイレクトする必要があります。

私の疑問は、私のWebページから別のWebアプリケーションWebページに要求をリダイレクトすると、もう一方の端でセッションパラメータが公開されることです。 セッションに非常に重要な情報が格納されているため、別のWebアプリケーションに詳細を公開する余裕がありません。

リダイレクトリクエストとともに、これらのパラメータを使用するリモートWebアプリケーションにいくつかのパラメータを送信しますある数学的計算のために。

誰もが私にこれを案内できますか？

Answer 1

は、セッション中に現在のワールド・ワイド・ウェブを通じて巨大セキュリティホールだったでしょう

番号が存在するかを確認するために、他のWebアプリケーションのためにそれが可能です。もう一度考えてみてください。 google.comとstackoverflow.comのセッションを見ることができますか？いいえ？その後、他のWebアプリケーションも間違いなくできません。 Webアプリケーションが外部から見ることのできるものはすべて、唯一の着信HTTP要求です。

この問題は、少なくともJSFとは関係がありません。

Answer 2

リダイレクトの前にセッションを無効にすると、外部WebアプリケーションがセッションCookieを認識するかどうかは関係ありません。彼らはセッションがもはや有効でなくなったために、あなたのセッション上でリクエストを回り込んでエミュレートすることができませんでした。

request.getSession().invalidate(); 

私は、私は別のWebアプリケーションへのリクエストヘッダは、同じセッションCookieが含まれるであろうことを疑うので、これはしかし問題になるとは思いません。