问题标签 [worklight-security]

我在我的应用程序中实现了加密缓存。当使用我设备中的移动浏览器在移动 Web 环境中进行测试时，我收到以下异常：

[错误] FWLSE0048E：未处理的异常被捕获：SRVE0190E：文件未找到：/apps/services/BMA_app/apps/services/random java.io.FileNotFoundException：SRVE0190E：文件未找到：/apps/services/BMA_app/apps/services/在 com.ibm.ws.webcontainer.filter.WebAppFilterChain.invokeTarget(WebAppFilterChain.java:127) 在 com.ibm.ws 的 com.ibm.ws.webcontainer.extension.DefaultExtensionProcessor.handleRequest(DefaultExtensionProcessor.java:496) 随机。 webcontainer.filter.WebAppFilterChain.doFilter(WebAppFilterChain.java:88) 在 com.worklight.core.auth.impl.AuthenticationFilter$1.execute(AuthenticationFilter.java:191) 在 com.worklight.core.auth.impl.AuthenticationServiceBean.accessResource (AuthenticationServiceBean.java:76) 在 com.worklight.core.auth.impl.AuthenticationFilter.doFilter(AuthenticationFilter.java:195) 在 com.ibm.ws.webcontainer.filter.FilterInstanceWrapper.doFilter(FilterInstanceWrapper.java:194) 在 com.ibm.ws.webcontainer.filter.WebAppFilterChain.doFilter(WebAppFilterChain.java:85) 在 com.ibm.ws .webcontainer.filter.WebAppFilterManager.doFilter(WebAppFilterManager.java:949) 在 com.ibm.ws.webcontainer.filter.WebAppFilterManager.invokeFilters(WebAppFilterManager.java:1029) 在 com.ibm.ws.webcontainer.webapp.WebApp.handleRequest (WebApp.java:4499) 在 com.ibm.ws.webcontainer.osgi.DynamicVirtualHost$2.handleRequest(DynamicVirtualHost.java:282) 在 com.ibm.ws.webcontainer.WebContainer.handleRequest(WebContainer.java:954) 在 com .ibm.ws.webcontainer.osgi.DynamicVirtualHost$2.run(DynamicVirtualHost.java:252) 在 com.ibm.ws.http.dispatcher.internal.channel.HttpDispatcherLink$TaskWrapper。在 com.ibm.ws.threading.internal.Worker.executeWork(Worker.java:439) 在 com.ibm.ws.threading.internal.Worker.run(Worker.java:421) 运行(HttpDispatcherLink.java:584)在 java.lang.Thread.run(Thread.java:701) [project BMA_app] SRVE0190E：找不到文件：/apps/services/BMA_app/apps/services/random

在其他环境中测试时，不会出现该错误。

编辑：我刚刚看到，此服务允许获取加密缓存的密钥。它允许打开它。鉴于此，服务是 404，我打开缓存失败。

此外，Worklight 控制台为我提供了移动 Web 应用程序的 URL：

该应用程序尝试获取加密缓存的密钥并发送到http:/my-server:port/BMA_app/apps/services/BMA_app/apps/services/random

^ 404 错误

如果我们将之前的 url 剪切为http://my-server:port/BMA_app/apps/services/random，它就可以工作。

似乎在 URL “BMA_app/apps/services”中重复了两次而不是一次。
为什么以及如何解决它？

我已经实现了登录模块，ei 不允许不同设备上的同一用户同时连接。我想到了两种解决方案。1 - 如果用户是与设备“A”的活动会话并连接“B”设备，则强制设备“A”再次进行身份验证。2 - 如果用户是与设备“A”的活动会话，则阻止访问具有相同用户的任何其他设备。

为了得到预期的结果，我需要手动控制用户，

或者 worklight 提供了一些方法来实现这一点。

如何配置 worklight 应用程序以启用真实性测试？
我无法在 IBM Worklight 6.1 信息中心找到确切的分步指南。

Worklight 6.1 文档确定“凭据”（例如密码）可以添加到提供给WL.Server.setActiveUser().

UIO 如何以及在哪里存储在 WL 服务器上，这是否被视为安全存储？

试图了解在此结构中存储密码以进行检索并用于后续后端访问（云）请求的安全含义。如果不安全，是否可以将加密应用于 UIO 的任何部分？

感谢您提供的任何建议。

在主题修复包之后，我无法直接更新我的应用程序。

它通知我有一个新版本可用，但是当我点击更新时，它一直说下载失败（在 iOS 和 Android 上）。

我将我的 android 附加到 adb，我注意到控制台中的这些行：

身份验证错误：无法响应任何这些质询：{wl-composite-challenge=WWW-Authenticate: WL-Composite-Challenge}

java.io.IOException：下载更新文件时出错从服务器收到以下消息，而不是预期的应用程序更新 zip 文件：HTTP/1.1 401 Unauthorized / -secure-{"challenges":{"wl_deviceNoProvisioningRealm":{"token ":"1or0tj7gnoev1rn06s188j4u9h"},"wl_antiXSRFRealm":{"WL-Instance-Id":"np8c8o3c4dk1k7s79i2ikddfab"}}} /

在 com.worklight.androidgap.plugin.WebResourcesDownloaderPlugin$WebResourcesDownloader.downloadZipFile(WebResourcesDownloaderPlugin.java:364)

为了完成信息，我在 web.xml 中部署了没有安全角色的 IBM_Worklight_Console，并且我们在运行 AIX 的 WAS Network Deployment 7.0.0.23 上安装了 Worklight 6.1.0.1。

在修复包之前，一切都运行良好。

谢谢

编辑：在这里你可以看到我的 application-descriptor.xml 和我的服务器配置：

Worklight 6.1.0.1，并使用基于 Chrome 的模拟器启动移动 Web 应用程序。从 WL 工作室部署到 WL 开发服务器的应用程序和适配器。

我有一个安全的适配器程序，并且我已经使用两种配置进行了测试：

和

getBaseData 只是简单地创建活动用户（包括 id + pwd 供以后使用），并将固定数据返回给应用程序。getCommunityMemberOf 是一个从后端服务器检索数据的 https 适配器。此适配器从活动用户检索 id + pwd 并将此信息作为 https 请求的输入。

我使用 javascript 控制台启动了第一个 chrome 模拟器会话，显示应用程序调用了过程 getBaseData。收集并验证凭据，并完成 setActiveUser。然后，应用程序调用过程 getCommunityMembersOf 并且此过程调用进程而无需身份验证，正如预期的那样。

我为同一个应用程序启动了第二个 chrome 模拟器会话，并且 javascript 控制台显示调用过程 getBaseData 没有受到挑战，并且已被处理，这似乎表明身份验证已完成，表明模拟器会话 #1 身份验证也满足模拟器会话 #2 身份验证。这是我要防止的行为，并且两个模拟器会话都需要独立进行身份验证。感谢有关为什么会发生这种情况的任何建议，以及我可以做些什么来阻止此会话共享。谢谢你。

我们在 WAS 环境中使用 Worklight，我们需要保护 WL 控制台不受任何人登录和操作应用程序的影响。我们有一个使用 WASLTPAModule 反对 Active Direcotry 的工作配置。WAS 集群使用具有联合 AD 配置的全局安全性。此配置用于向控制台提供身份验证。

问题是任何在 AD 中拥有有效帐户的人都可以登录控制台。

我没有看到任何有关如何将使用控制台的授权限制到特定 AD 组的文档或信息。这是怎么做到的？

有什么方法可以避免在用户已经通过身份验证的情况下更新 Worklight 应用程序后出现登录屏幕？

当移动设备对 Worklight 服务器的请求超时时，我收到以下错误，看起来它是从 Worklight 框架推送的

现在向最终用户透露服务器地址并不理想。而且我无法弄清楚可以在哪里定制。需要有关如何修改此错误消息的建议

尝试使用自定义身份验证器和登录模块对适配器进行身份验证时，我面临以下异常。

你可以帮帮我吗？