1

Tengo un login y un logout y no me deja pasar a las siguientes rutas sin un logueo previo. Uso manejo de sesiones y estaba dudando si crear un token por sesion y validarlo pero me parece mucho trabajo. En el siguiente código esta un ejemplo de la forma en que lo uso. ¿Hace falta o ya es bastante segura la sesión?

Adjunto un poco de mi código:

@GetMapping("/vista-protegida")
public String vistaprotegida(HttpSession session) {
    if (session.getAttribute("userAuth") != null){
        return "usuarios/vista-protegida";
    } else {
        return "index";
    }
}


    @GetMapping("auth/logout")
public RedirectView logout(HttpSession session){
    session.removeAttribute("userAuth");
    return new RedirectView("/");
}

1 respuesta 1

1

Esta pregunta podría estar cerrada porque pide sugerencias y es demasiado amplia, hay muchas maneras de hacer esto.

Simplificando, el control de su sesión es inseguro, si alguien con acceso al JSESSIONID de una sesión puede replicar esta sesión en otra computadora, y no es tan difícil capturar la identificación de sesión de una "víctima".

Sesión + token es sin duda más seguro, pero no necesita crearlo usted mismo, hay muchos frameworks que ya lo hacen por usted, solo tiene que configurar el framework, poner algunas tags en todas las páginas y el código de validacion ya sea en todos sus "Servlets" o incluso mejor, en un HttpFilter.

Puede buscar frameworks para "OAuth" o "token based authentication", Spring y Keycloak son los que veo que más se han utilizado, por ejemplo.

1
  • Gracias! No puedo valorar tu respuesta por mi poca reputación pero se agradece!
    – juancruz
    Commented el 6 jun. 2022 a las 19:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.