Улучшение безопасности для проекта Wildly JSF - PullRequest
Новая
       20

Улучшение безопасности для проекта Wildly JSF

0 голосов
/ 25 октября 2019

Я пытаюсь переместить локальный веб-проект в JSF в облако Wildly. Аутентификация выполняется с помощью этого фильтра Firebase: 

@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
        throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) servletRequest;
    HttpServletResponse response = (HttpServletResponse) servletResponse;
    userManagerSession = (UserManager) request.getSession().getAttribute("userManager");

    // managed bean name is exactly the session attribute name
    // boolean loginRequest = request.getRequestURI().endsWith(LOGIN_PAGE);
    if (!request.getRequestURI().startsWith("/giocapp/s/")) {
        filterChain.doFilter(request, response);
        return;
    }

    Cookie[] cookies = request.getCookies();
    String token = null;
    if (cookies != null) {
        for (Cookie cookie : cookies) {
            if (cookie.getName().equalsIgnoreCase(HttpHeaders.AUTHORIZATION)) {
                token = cookie.getValue();
                tokenCookie = cookie;
                break;
            }
        }
    }

    if (token == null || token.isEmpty()) {
        System.out.println("Missing token oauth2");
        response.sendRedirect(request.getContextPath() + LOGIN_PAGE);
    } else {

        try {
            FirebaseToken decodedToken = FirebaseAuth.getInstance().verifyIdToken(token);

            account = new FirebaseAccount(decodedToken.getUid(), decodedToken.getName(), decodedToken.getEmail(),
                    decodedToken.getPicture());
            if (userManagerSession == null) {
                userManagerSession = userManager;
                userManagerSession.login(decodedToken.getUid());
            }
            System.out.println(userManager.getUserId());
            filterChain.doFilter(request, response);
        } catch (FirebaseAuthException e) {
            System.out.println("Token oauth2 not valid");
            refreshToken(cookies, request, response, filterChain);
        }
    }
}

Это login.xthml: 

<p:panel id="panel">
                <div class="ui-g-12">

                    <h:panelGroup styleClass="md-inputfield">
                        <p:inputText id="user-name" value="#{userManager.userId}"
                            label="Username" required="true"
                            requiredMessage="Inserisci il nome utente" />
                        <label>Username</label>
                    </h:panelGroup>
                    <p:message for="user-name" display="icon" />
                </div>
                <div class="ui-g-12">
                    <h:panelGroup styleClass="md-inputfield">
                        <p:password id="password" value="#{userManager.userPassword}"
                            label="Password" required="true"
                            requiredMessage="Inserisci la password" />
                        <label>Password</label>
                    </h:panelGroup>
                    <p:message for="password" display="icon" />
                </div>
                <div class="ui-g-12">
                    <p:captcha label="Captcha" />
                    <p:commandButton value="Accedi" icon="ui-icon-person"
                        action="#{userManager.login()}" update="panel messages" />
                    <p:button outcome="/s/dashboard" value="Password dimenticata"
                        icon="ui-icon-help" styleClass="secondary" />
                </div>
            </p:panel>
        </div>

Я реализовал captcha;Это хороший подход, чтобы уменьшить возможные проблемы безопасности? Я использую Firebase аутентификацию с надежным паролем! Идея состоит в том, чтобы поместить этот проект в облачную платформу Google или открыть порт 80 e 443 в моем брандмауэре, чтобы разрешить WAN-доступ. Также я хочу использовать давайте шифрование, чтобы использовать http (s) поверх TLS / SSL для улучшения шифрования.

...