Безопасность (фреймворк?) Для JSF 2.0

Question

Я реализовал несколько страниц для моего веб-проекта.Однако теперь я хотел бы добавить защиту.

У меня будет несколько ролей, таких как администратор, пользователь, другие, и некоторые страницы будут доступны только для администраторов, некоторые для пользователей и т. Д.

Если это интересно, я использую Hibernate для базы данных.Я планирую хранить роли и пользователей в базе данных.

Можете ли вы помочь мне рассказать о передовом опыте (если таковой имеется) для масштабируемого решения для обеспечения безопасности в моем веб-проекте?Ссылки, книги или хороший пример очень благодарен =)

С уважением

Answer 1

Apache Shiro - это новая и предположительно очень элегантная и простая в использовании инфраструктура безопасности.

Answer 2

Пружина безопасности может подойти для ваших нужд.

http://static.springsource.org/spring-security/site/features.html

Кстати, какую IDE вы используете?

Answer 3

Вы, несомненно, можете посетить веб-сайт OWASP. Веб-сайт OWASP предоставляет вам каждый бит информации о потенциальных атаках / угрозах безопасности для веб-приложения.

Сайт предоставит вам всю информацию, относящуюся к конкретной атаке / угрозе, а также возможное решение, чтобы избежать угрозы.

Вы даже можете загрузить JAR-файл ESAPI, предоставленный OWASP, который предоставляет достаточное количество функций для обработки атак / угроз безопасности. Это значительно сократит ваше время разработки.

Вот ссылка на сайт

https://www.owasp.org/index.php/Main_Page

Основываясь на используемой вами базовой технологии, вы получите соответствующие решения для предотвращения атак / угроз.

Также вы можете хранить имена модулей или URL-адреса в БД, и вы можете иметь отображение между ролями и модулем. В зависимости от роли пользователя вы можете получить модуль и отобразить соответствующие модули для пользователя.

Вы также можете посетить эту ссылку для получения более подробной информации о том, когда использовать SHIRO и когда использовать EASPI.

Apache Shiro & Java Security для начинающих введите описание ссылки здесь

Но я уверен, что после просмотра веб-сайта EASPI и нескольких дней изучения атак на безопасность вы легко сможете использовать EASPI для повышения безопасности своего веб-приложения.