Empêcher les utilisateurs privilégiés de se connecter en externe

La configuration de sécurité suivante wc-server.xml définit l'en-tête de requête personnalisée EXTERNAL_WEBSERVER :

<RestrictAdminLogonToStore display="false" enabled="false" webServerHeader="EXTERNAL_WEBSERVER">
    <RolesAllowedWithoutHeader>
        <Role name="Registered Customer"/>
        <Role name="Buyer Administrator"/>
        <Role name="Buyer Approver"/>
    </RolesAllowedWithoutHeader>
</RestrictAdminLogonToStore>

Si vous utilisez IBM HTTP Server, vous pouvez ajouter ce qui suit au fichier httpd.conf d'ajouter la valeur d'en-tête EXTERNAL_WEBSERVER de <code>true</code> à l'objet HttpServletRequest :

RequestHeader set EXTERNAL_WEBSERVER true

Dans l'exemple, seuls les utilisateurs ayant les rôles suivants (ou aucun rôle du tout) peuvent accéder au site de l'extérieur lorsque l'en-tête est présent dans la demande Web :

• Client enregistré
• Administrateur acheteur
• Valideur acheteur

Dans un scénario où isAllowed() renvoie false, le nouveau code d'erreur suivant est généré :

• ERR_LOGON_NOT_ALLOWED_FROM_EXTERNAL_WEBSITE = "2340";

La capture d'écran ci-dessous illustre le code d'erreur sur la vitrine du magasin :

En utilisant cette infrastructure, vous pouvez adopter deux approches possibles pour contrôler l'accès réseau interne et externe à votre site. Gardez à l'esprit que vous n'êtes pas limité à ces approches.

1. Contrôlez l'accès interne et externe par le biais de serveurs Web distincts. Définissez l'en-tête personnalisé spécifié dans chaque demande du serveur Web externe pour empêcher les utilisateurs privilégiés de se connecter sur le site en externe.
2. Utilisez un filtre personnalisé, décrit ci-dessous, pour valider les informations de demande afin de différencier les demandes réseau interne des demandes réseau externes.

L'exemple de code suivant peut être utilisé pour la personnalisation pour permettre la vérification de la connexion externe sur votre magasin. Cet exemple utilise la création d'un nouveau filtre, ce qui détermine si la demande entrante est reçue à partir d'un site Web externe. Dans ce cas, l'adresse IP est pour cette détermination. Le filtre suivant peut être ajouté à votre fichier web.xml de magasin :

public class MyRuntimeServletFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void destroy() {
    }

    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
        throws IOException, ServletException {
        HttpServletRequest httpServletRequest = (HttpServletRequest)req;
        // limit filter to only logon request
        if (httpServletRequest.getPathInfo()!= null && httpServletRequest.getPathInfo().contains("AjaxLogon")) {
            String customHeaderName = WcsApp.configProperties.getValue(ECSecurityConstants.WCSAPP_CUSTOM_HEADER_URL);
            // check RestrictAdminLogonToServer is enabled and custom header is set in wc-server.xml
            if (SecurityHelper.isRestrictAdminLogonToStore() && customHeaderName != null) {
                String remoteIP = null;
                if (httpServletRequest.getHeader("x-forwarded-for") == null) {  
                    remoteIP = httpServletRequest.getRemoteAddr();  
                } else {
                    remoteIP = httpServletRequest.getHeader("x-forwarded-for");  
                } 
                if (remoteIP != null && remoteIP.startsWith("9.186")) {
                   // set external network request flag
                    SecurityHelper.setExternalWebServerFlag(customHeaderName, Boolean.TRUE);
                }
            }
        }
        chain.doFilter(req, res); 
    }