チャレンジトークンはVtiger Web Servicesで実際にどのような目的を果たしますか？

Question

私は、マルチスレッドJavaアプリケーションからVTiger（6.4）Webサービスを呼び出しています。私はWebサービスを呼び出す必要があるたびに、VTからチャレンジトークンを取得してからログインし、最後にクエリを実行します。

VT Webサービスのコードを見てみると、あるスレッドによって取得されたトークンがVTのデータベースで第2のスレッドで取得されたトークンによって上書きされるため、上記は「スレッドセーフ」ではないようです。 Javaアプリケーションが、VTログインWebサービスが呼び出されたときにスレッドの実行順序を逆転させた場合、これらの呼び出しの1つが間違ったトークンで失敗することになります。

など、私は私は私のアプリ内でトークンをキャッシュすることができることを実感...しかし、それは共有ストレージのミューテックスのロックを実装する意味

だから、私の質問は：チャレンジトークンは本当にのvtigerのに多くのセキュリティを追加していウェブサービス？または、バイパスすることができますか？

Answer 1

トークンは、セッションが盗まれるのを防ぎます。そのトークンの代わりに、すべての呼び出しでaccessKeyを使用しますが、Vtiger Webservicesはそのように構築されていません。

vtigerのベースコードで認証コードを変更すると、これは確実にバイパスできます。少なくとも2つのファイル

vtiger_root/include/Webservices/AuthToken.php 

と

vtiger_root/include/Webservices/Login.php 

を変更する必要があります私はあなたがスレッド間で単一のトークンを共有すべきだと思います。セッション確立を実装するためにシングルトンを使用するかもしれません。