关于每个jsp页面的安全验证？？？

[wangpeilei_403]

我想做个会员注册发布信息的一个jsp网站，用户登陆后把用户ID保存到session，对每个页面读取sesson值，如果为空或null，就提示返回，这种做法是不是不太安全，我看过有个程序是对每个页面读出id和password后在进行数据库验证，哪种方法好？？有没有更有效的做法？

[lvyuanfang]

同意snakeqi(迷茫的石头)的，我也不知道怎么做

[syyhpf]

在你的IDE(我用的Jb)中新建一个filter
public class CyjobEntFilter extends HttpServlet implements Filter {
private FilterConfig filterConfig;
private static Logger logger = Logger.getLogger(CyjobEntFilter.class);
//Handle the passed-in FilterConfig
public void init(FilterConfig filterConfig) throws ServletException {
this.filterConfig = filterConfig;
}

//Process the request/response pair
public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) {
logger.debug("进入企业用户过滤器...");
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
String url = null;
String dispatch = req.getParameter("dispatch");
logger.debug("dispatch:" + dispatch);
//企业用户未登录并且不是注册页面
try {
if (req.getSession().getAttribute(EntSession.OPERATORINFO) == null){
if (dispatch == null || dispatch.equals("")){
logger.debug("企业用户未登录并且dispatch为空...");
url = "/cyjob_web/index.jsp";
logger.debug("重定向url:" + url);
res.sendRedirect(url);
return ;

}else if (!dispatch.equals("regCompany") && !dispatch.equals("regOperator")){
logger.debug("企业用户未登录并且不是注册企业页面...");
url = "/cyjob_web/index.jsp";
logger.debug("重定向url:" + url);
res.sendRedirect(url);
return ;

}

}
filterChain.doFilter(request, response);
}
catch(ServletException sx) {
filterConfig.getServletContext().log(sx.getMessage());
}
catch(IOException iox) {
filterConfig.getServletContext().log(iox.getMessage());
}
}

//Clean up resources
public void destroy() {
}
}
你主要在doFilter中加上你的业务逻辑验证就可以了
然后修改web.xml,

[syyhpf]

然后添加修改web.xml,
<filter>
<filter-name>cyjobentfilter</filter-name>
<filter-class>com.ccit.cyjob.config.CyjobEntFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>cyjobentfilter</filter-name>
<url-pattern>/ent/*</url-pattern>
</filter-mapping>
描述需要受限的页面

[ytnice]

session.没问题

[zjb82930]

做个过滤器..对所有页面进行验证.

[hotenM]

session好，很安全

[zhulei0429]

过滤器..怎么作

[zjb82930]

但是要在每个页面都对SESSION进行验证太麻烦了.页面多的话有时候还会忘记.建议用过滤器.

[snakeqi]

同问，我也有类似问题，可是以前没有人给出解答

[zhulei0429]

帮个忙发个代码上来没，做过着个东西，大概说下怎么做也可以谢谢了

[zjb82930]

这个要涉及到XML和SERVLET..利用XML把所有页面的请求提交给一个servlet(也就是过滤器),通过servlet过滤.

[hotenM]

相信session

[dabo1980]

Session是最简单有效地解决方案！数据库加密后也行，不过工作量加倍！

[zhulei0429]

直接提交给servlet不可以吗

[zjb82930]

直接提交给servlet,那你没保证把所有的页面都提交给SERVLET,如果每个页面都提交给servlet那不是很累..过滤器只是过滤作用而已.功能就类似防火墙.所有页面只是路过了这个过滤器,而没有真正和过滤器发生什么关系.哎..不好意思啊..我的表达能里不是很好..见谅!

[leyan728]

就用session.简单便捷.

[zhulei0429]

大哥有没有代码给我看看

[youstar]

写个标签比较方便.
比过滤器要好,过滤器要过滤所有的页面,麻烦.包括登陆页面.
如果要用过滤器就把要验证的文件放到单独的目录,对这个目录的设置映射就可以了

[kellyrong]

哪位大哥知道session和cookie哪個好一點

[橘子香水]

用session最简单。