BeX5 5.2.7 登录后如何清除session清除

thron · 发表于 2020-7-9 01:37:17

由于我们客户对使用BeX5开发系统进行安全检查，提出了一些问题需要修改我们开发了PC端（5.2.7） wap端（5.3.1）两套，后来使用5.3.2兼容的方式将这两套代码融合在了一起，
即使用studio5.2 开发PC（UI）；使用sutdio开发wap（UI2）；使用同一套BIZ

1、问题1

C端验证码登录后无法清除，导致一个验证码可以使用多次

PC端登录时，是将前台验证码与后台session中存储的验证码进行比对，但登录成功后，没有清除session中的验证码，一个验证码可以使用多次；
在后台看到的OPMProcedure中，通过ContextHelper.getSessionContext().getSession 遍历这个session也没有找到存储captcha的attribute；
验证码生成的方法是/captchaimage

所以怎么清除呢？

thron · 发表于 2020-7-9 01:38:59

jishuang · 发表于 2020-7-9 09:02:26

这个应该是标准的，应该在验证码校验通过后就清楚吧，具体到网上查找

thron · 发表于 2020-7-9 09:15:50

不是的，这个验证码的session 绑定的方法是captcha找不到，而且这个登录验证码的校验在OPMProcedure里面，这应该是5.2.7自带的。就是找不到这个验证码在session的key在哪

thron · 发表于 2020-7-9 13:16:48

请麻烦尽快帮忙排查一下，这个问题比较急，因为这些安全检查的问题，我们已经将系统停掉，需要待修复之后才能上线

thron · 发表于 2020-7-9 15:19:42

这是我们从runtime/UIServer/WEB-INF/lib/portal-core.jar 反编译后看到的代码，这代码就说明确实是放在session中，key=captcha
但是我们通过ContextHelper.getSessionContext().getSession().removeAttribute("captcha") 根本清不掉这个session

那么，这说明我通过ContextHelper获取的session 和验证码生成的那个session不是一个？
那我在OPMProcedure中该如何获取截图中的这个session呢？我在OPMProcedure也没法直接拿到request，也需要通过ContextHelper.getRequestConbtext() 这个也不对

我通过这个ContextHelper.getRequestConbtext() 方法获取的request里面拿到的cookie 和前端页面浏览器的cookie 也不一致

我们自己猜测，是不是框架做过转发或者重定向动作呢？

jishuang · 发表于 2020-7-9 16:31:20

用的是5.2的经典门户？

thron · 发表于 2020-7-10 16:30:06

已经解决了，结

		自动登录	找回密码
密码			注册

[结贴] BeX5 5.2.7 登录后如何清除session清除