第三方通过url上传参数跳转X5的安全替换方案

doris

使用“http://docs.wex5.com/bex5-ui-question-list-10012/”中的第一个方案，第三方通过url上传username和password参数跳转X5首页，近期一次渗透测试认为这种请求方法不安全，请问有什么替换方案吗？

jishuang

http://docs.wex5.com/bex5-ui-question-list-10258/

doris

jishuang 发表于 2020-11-19 11:40
http://docs.wex5.com/bex5-ui-question-list-10258/

X5修改之后，第三方通过什么方式跳转X5呢？

jishuang

访问这个.j进行跳转

doris

jishuang 发表于 2020-11-19 11:57
访问这个.j进行跳转

这个.j文件是替换\model\UI2\system\service\common\src\login.j？第三方访问.j方便提供示例吗？

jishuang

不是替换，是自己定义一个.j文件，内容就是链接中放的
第三方可以ajax调用，或者直接浏览器中访问

doris

jishuang 发表于 2020-11-19 14:00
不是替换，是自己定义一个.j文件，内容就是链接中放的
第三方可以ajax调用，或者直接浏览器中访问
...

麻烦提供一个ajax调用模板，特别是success后如何打开X5首页

lyc_0809

学习学习

jishuang

调用.j参考http://docs.wex5.com/bex5-ui-question-list-10276/
.j中已经做了跳转了

doris

jishuang 发表于 2020-11-20 16:14
调用.j参考http://docs.wex5.com/bex5-ui-question-list-10276/
.j中已经做了跳转了

我这边测试登录X5成功了，但是页面没有跳转。
ajax调用代码如下，.j文件见附件。

                          $.ajax({
                                async: false,
                                type: "POST",
                                dataType: "application/xml",
                                url: "http://192.168.22.8:8082/x5/UI2/system/service/common/SSOLogin.j",
                                data:{
                                        username : '3201A219'
                                },
                                error: function(error, status, errorThrown) {
                                        alert("---失败---");
                               },
                                success: function(result){
                                        alert("---成功---");                                                       
                                }
                        });