敏感页面的Java Web应用程序二级安全性

Question

我正在构建一个以购买和销售为特色的网络应用程序，这意味着我将不得不收集用户的信用卡信息。因此，我希望用户重新验证自己，以访问敏感页面，如更改密码，更新/删除信用卡等。

我正在使用Struts，Springs和Hibernate

我在这里制定了一个小计划，但我想得到一些反馈和批评。

• 在spring beans中维护一个敏感页面网址列表。
• 创建一个servlet过滤器，用于查找页面是否敏感，如果页面是敏感的，它会在会话中检查敏感令牌（令牌在创建时有时间）
• 如果令牌不存在或令牌生命期超过5分钟，请再次将用户重定向到身份验证页面。
• “身份验证”页面成功登录后将创建一个令牌并将其置于会话中。

这意味着用户只需在单一身份验证后访问敏感页面仅需5分钟。

还有其他更好的方法吗？提前谢谢。

Answer 1

如果在过滤器中完成实现，则此配置可以作为过滤器的配置参数存储在web.xml中。

BTW我认为将用户重定向到登录页面可能会降低可用性。您是否考虑过将密码字段添加到使用信用卡类型的页面？在这种情况下，您可以显着简化您的系统。

Answer 2

在进行敏感操作时，重新认证是一种非常好的方法，但完全避免某些任务也有好处 - 也许某些第三方可以处理信用卡信息的处理？