security - 从非 Worklight 应用程序调用 Worklight 适配器

Question

在 WebSphere 应用程序服务器中将适配器（无论是 HTTP、SQL、JMS 还是 CastIron）部署到 Worklight Server 时，我相信我们可以从任何非 Worklight 应用程序外部调用适配器，如下所示。

http://localhost:8080/invoke?adapter=ADAPTER_NAME&procedure=PROCEDURE_NAME¶meters=[PARAMETER1,PAREMETER2,...]

使用这种方法的优点和缺点是什么？真的推荐吗？

score 2 · Accepted Answer

优点：

它易于从多个应用程序访问；访问适配器 URL 和传递参数。

缺点：容易破解启用的身份验证框架

解决方法：我遇到了同样的情况，我通过在服务器上注入我的自定义侦听器来侦听每个请求，然后根据我的标准将其转发到适配器或 worklight 应用程序，从而克服了它。这样我可以防止外部访问。

还有另一种使用自定义身份验证模型的方法。

score 1 · Accepted Answer

易用性是最大的优点，安全性是最大的缺点。为了能够以这种方式调用过程，您的适配器必须免于任何安全测试 (wl_unprotected)。如果您的 Worklight 主机和端口对 Internet 开放（很可能），任何知道适配器名称、过程名称等的人都可以调用您的适配器。

2 回答 2