0

我在 Tomcat 战争应用程序中使用 ESAPI 加密。我想从战争之外的目录加载 ESAPI.properties 文件，以便为每个环境提供不同的密钥和盐。我也希望每场战争都有一个不同的 ESAPI.properties 文件，这样每个应用程序都将进行个性化配置。根据 org.owasp.esapi.reference.DefaultSecurityConfiguration 的文档，实现这一目标的方法很少。

1) SecurityConfiguration.setResourceDirectory("C:\temp\resources")。

2) System.getProperty("org.owasp.esapi.resources")

3) System.getProperty("user.home") + "/.esapi" 目录里面

4) 类路径上的第一个“.esapi”或“esapi”目录。

前 3 个选项将强制每个 tomcat 配置一个配置。这意味着属性文件位置在所有部署的战争中都被强制执行。（第一个选项使用 ClassLoader.getSystemResource - 要求路径是类路径的一部分）

有没有办法使用Tomcat配置来完成它？

我还找到了一种覆盖 ESAPI 默认安全配置的方法，我可以在其中扩展 DefaultSecurityConfiguration 并覆盖 getResourceFile，但是 ESAPI javadoc 说这种方法应该“从不”使用——我不确定这是什么原因。

 package org.owasp.esapi;
 public final class ESAPI{   
 /**
 * Overrides the current security configuration with a new implementation. This is meant
 * to be used as a temporary means to alter the behavior of the ESAPI and should *NEVER*
 * be used in a production environment as it will affect the behavior and configuration of
 * the ESAPI *GLOBALLY*.
 *
 * To clear an overridden Configuration, simple call this method with null for the config
 * parameter.
 *
 * @param config
 * @return
 */
public static void override( SecurityConfiguration config ) {
    overrideConfig = config;
}

有什么建议么？

4

1 回答 1

0

如果你想要一个特定实例的 tomcat 配置，首先想到的是使用 tomcat 的setenv.sh脚本进行设置。就像是

export JAVA_OPTS='$JAVA_OPTS -Dorg.owasp.esapi.resources="/path/resources"'
于 2014-04-30T19:33:26.247 回答