Какие функции безопасности доступны в Struts?

Question

Мне поручено разработать веб-приложение, и я думаю об использовании инфраструктуры Struts, так как она кажется стандартной и простой в реализации.

Однако, прежде чем принимать решение, мне нужно знать функции безопасности, доступные в Struts.

Существуют ли эффективные способы обработки OWASP Top 10 с помощью Struts? И если да, то как мне это сделать?

Answer 1

Struts предлагает вам инфраструктуру MVC, и она имеет ограниченные функции безопасности, например, Вы можете сопоставить роли с действиями. Я рекомендую вам взглянуть на что-то более полноценное, например Spring Security (ранее Acegi).

Answer 2

Даже для функций, которые упоминает YC, вы, вероятно, не захотите использовать файл конфигурации Struts «из коробки» для настройки ACL для ваших действий. Может быть, лучше программно проверить состояние в HttpRequest по мере его выхода из ActionServlet, прежде чем оно достигнет ваших действий Struts (т. Е. Этот HttpRequest исходит от аутентифицированного и авторизованного пользователя с заданным URL-адресом?). В качестве альтернативы вы можете перехватить запрос с помощью ServletFilter, хотя вам следует быть осторожным, чтобы убедиться, что он безопасен для потоков.

Answer 3

Лучший способ справиться с первой десяткой OWASP - взглянуть на OWASP Enterprise Security API ...