实现 j_security_check 绕过

【问题标题】：Implementing j_security_check bypass实现 j_security_check 绕过
【发布时间】：2013-10-31 08:03:21
【问题描述】：

我有一个基于 JSF 2.2 和 Primefaces 的应用程序，它使用 j_security_check 对用户进行身份验证。该应用程序运行良好，但我们有一种情况，其他应用程序可以对同一用户进行身份验证。问题是，其他应用程序不在同一台服务器上运行，它们使用基于服务生成的令牌的“假单点登录”。每个应用程序都会收到此令牌，对其进行验证，并确认用户是否登录。

我期望做的是通过 HTTP 请求接收此令牌，对其进行验证，然后在我的使用 j_security_check 的应用程序中自动登录用户。

有人知道这是否可行吗？

【问题讨论】：

标签： jsf jsf-2 primefaces j-security-check

【解决方案1】：

您可以使用HttpServletRequest#login() 执行编程登录。您可以在任何可以使用HttpServletRequest 的地方执行此操作，例如在 JSF 支持 bean、servlet 过滤器甚至是普通的 vanilla servlet 中。

request.login(username, password);

注意：这并不严格“绕过”j_security_check。它是j_security_check 的编程变体。

【讨论】：