セッション変数を使用して、ColdFusionでページリファラーまたはリモートCFCコールを「承認」しますか？

私はちょうどフォームと私は本当に長い/永久的なセッション継続時間を設定し、セッションタイムアウトを処理するためにonRequestにセッション変数を使用して、ColdFusionでページリファラーまたはリモートCFCコールを「承認」しますか？

if DateDiff("n", now(), session.lastactive) gt 15

を使用することについて疑問に思ったリモートCFCのセキュリティに対処しようとするアイデアを中心に考えています。次に、参照/呼び出しページにsession.referrerを設定し、フォームハンドラまたはリモートcfcでテストします。私はそれが行われていることを読んでいないので、これをしないと良い理由があるでしょうか？

出典

2011-09-11 Saul

私はそれを取得しません。これはどのようなセキュリティを提供しますか？なぜ手動でセッションを制御したいのですか？ ColdFusionはあなたのために既にそれを行います。私はこれで何の利益も見ません。おそらくあなたがしようとしているもののためのメカニズムがすでに存在します。あなたはそれが何であるかについてより具体的になりますか？ –

私が避けようとしているのは、フォームハンドラか、リモートcfcがアクセスしようとしている私のサイトのページ以外のどこかからアクセスされていることです。私はスプーフィングできない可変スコープがセッションスコープなどのものだと考えていました。送信しているページがトークンを渡して、処理ページでそれが見つからない場合は、フォームハンドラ/ ajax cfcのサイト使用を停止しないでしょうか？ – Saul

リクエストが実際にあなたのアプリケーションから来たものであることを確認するので、Jasonの答えが行く方法です。それを正解とマークする必要があります。 –

あなたが説明していることは、すでにColdFusion 8以降のverifyClientに組み込まれている機能だと思います。

http://www.adobe.com/devnet/coldfusion/articles/ajax_security.html

それは、ページがレンダリングされるときにトークンを作成し、トークンが提出されているものTEページ送られていることを確認します。トークンが送信されないか、正しくない場合、呼び出しは「クライアント検証」エラーを返します。

出典

2011-09-11 17:37:13

セッション変数を使用して、ColdFusionでページリファラーまたはリモートCFCコールを「承認」しますか？

答えて

関連する問題