在 JSP 中处理页面导航的最佳策略

Question

我正在探索JSP来实现动态网页。要解决的一个问题是页面之间的导航。用户可以在浏览器中后退和前进。

这必须处理。例如，如果有人注销，我们不希望其他人通过单击“返回”来检索会话或数据。另一个例子是我们不想重新提交表单两次。

我正在寻找解决页面导航问题的提示和建议。我想创建一个必须处理的问题列表+可能的解决方案：

问题：

• 确保会话不能通过后退/前进点击来检索/劫持
• 确保表单不会提交
• 两次确保用户无法篡改 cookie 或 URL 数据或隐藏字段来破坏控制流和安全性

解决方案：

• 实现访问过的页面堆栈
• 当调用页面时，在其显示时进行注册，以区分来自“的新请求”返回'
• 控制当前会话

P.S.：我见过这个问题，但没有真正的答案。

Answer 1

确保会话不会被后退/前进点击检索/劫持

只需 禁用这些页面的浏览器缓存。另请参阅防止用户在注销后看到以前访问过的安全页面。

---

确保表单不提交两次

生成一个长的、唯一的且无法猜测的字符串，将其存储在会话中......

String token = UUID.randomUUID().toString();
((Set<String>) session.getAttribute("tokens")).add(token);
request.setAttribute("token", token);
request.getRequestDispatcher("/WEB-INF/page.jsp").forward(request, response);

并作为表单的隐藏输入字段。

<input type="hidden" name="token" value="${token}" />

提交后，比较并删除会话中的密钥。如果它在会话中，则继续提交。

if (((Set<String>) session.getAttribute("tokens")).remove(request.getParameter("token")) {
    // Valid token. Proceed with submit.
} else {
    // Invalid token. Possible double submit.
}

---

确保用户无法篡改 Cookie 或 URL 数据或隐藏字段来破坏控制流和安全性

只需自己编写可靠的代码或使用现有且可靠的 MVC 框架，例如 JSF2、Spring- MVC、Struts2等

---

解决方案：

• 实现访问过的页面堆栈
• 当调用页面时，在其显示时进行注册，以区分新请求和“返回”
• 控制当前会话

很麻烦。

Answer 2

为了防止重复提交，我将使用通过 HttpSession 使用的 Apache Struts 1 示例。

Struts 所做的是生成一个随机令牌，该令牌存储在会话中并添加到表示层 (JSP) 的表单页面中。当用户提交表单时，它会从会话中检查表单给出的令牌是否与会话中找到的会话完全相同。如果为真，则处理该请求，否则为重复提交。

示例：

public class AuthenticationAction extends Action {

    public void displayLogout(ActionMapping mapping, ActionForm form,
                        HttpServletRequest request, HttpServletResponse response) throws Exception {

        saveToken(request);
        return mapping.findForward("displayLogout");
    }

    public ActionForward doLogout(ActionMapping mapping, ActionForm form,
                        HttpServletRequest request, HttpServletResponse response) throws Exception {

        if (isValidToken(request)) {
            //It wasn't yet a double submission, delete token generated by Struts
            resetToken(request);
            //logout.
            ...
            //return back home
            return mapping.findForward("home");
        } else {
            //Double submission..
            throw new Exception("double submission");
        }
    }
}

此处可以找到更好的教程。

Answer 3

嗯，如果你愿意，你也可以使用 Spring Webflow 框架，但是使用后退和刷新而不是提交表单两次可以通过定义你的控制器来轻松解决。我认为使用REST也可以帮助解决一些问题。

隐藏字段操作是另一回事，因为隐藏字段始终可以在页面源中查看。如果这个领域可以被观察到，那么它就可以被操纵。

Answer 4

为了避免重新发明轮子，使用现有的框架似乎是最好的解决方案。 Struts 看起来是一个不错的选择。提供了简单的介绍教程。