2

Tenho uma pagina, que usa o thymeleaf para atualização do perfil de um usuário e nessa pagina existem dois botoes que permitem fazer a atualização do perfil e o outro botão permite fazer a remoção do perfil da aplicação.

Uma vez que o usuario esteja autenticado ele tem acesso ao seu perfil, e caso ele não esteja autenticado esse acesso é negado.

Por exemplo suponhamos que o usuário tenha o id = 51 , tenha sido autenticado e esta agora na sua pagina de perfil.

O acesso para essa pagina é:

http://localhost:8084/minhaapp/usuario/perfil/51

O problema é que qualquer usuário autenticado pode acessar indevidamente o perfil dos outros. Assim se o usuário autenticado na aplicação de id 51 , mudar a url para

http://localhost:8084/minhaapp/usuario/perfil/56

Ele vai conseguir mudar o perfil de outra pessoa!

O que devo fazer?

2
  • Qual a versão do spring você esta usando? 7/10/2017 às 1:01
  • @RenatoVieraDantas Obrigado cara , desculpe a demora! <version>4.3.4.RELEASE</version> 16/10/2017 às 23:36

1 Resposta 1

0

Você pode criar uma configuração que controlará as sessões por usuário, evitando essa 'afinidade de sessão' que a tua app tá criando.

Por exemplo, defina uma classe que limita a uma sessão por pessoa.

@Configuration
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    FindByIndexNameSessionRepository<ExpiringSession> sessionRepository;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
            http
                    // other config goes here...
                    .sessionManagement()
                            .maximumSessions(1)
                            .sessionRegistry(sessionRegistry());
    }

    @Bean
    SpringSessionBackedSessionRegistry sessionRegistry() {
            return new SpringSessionBackedSessionRegistry(this.sessionRepository);
    }
}

https://docs.spring.io/spring-session/docs/current/reference/html5/

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .