使用Struts2标签处理会话是否安全

Question

我使用了一些Struts2代码和OGNL来验证将在<div>代码中显示的内容

<s:if test="%{#session.User.getProfile()=='Admin'}">
    //SHOW SOMETHING RELATED WITH ADMINS
</s:if>
<s:else>
       //SOMETHING RELATED WITH NORMAL USERS                
</s:else>

这太简单了，我不知道它是否安全，或者我应该使用更好的技术来实现我想要做的事情

Answer 1

如果从客户端访问，则在上下文中使用的会话映射受框架保护。在服务器端，它是由OGNL以普通方式使用的。因此，您不必担心它，但为了避免其他可能的漏洞，您可以更好地使用任何安全框架或servlet安全性。 Struts2为PrincipalAware操作提供了一个安全性，您可以使用它而不是将模型对象视为安全性。