Servlet で redirect した時の location ヘッダにセットされる ホスト名ってどうなっているのか Servlet では HttpServletResponse.sendRedirect(location) メソッド使ってリダイレクトできますが、 この location に相対パスを設定した場合でも location ヘッダには 絶対パスが出力されます。 この時のホスト名は なんの情報から設定されるのだろうか？ という疑問 Tomcat7.0 の ソースで調べてみた。 Response.java をみると sendRedirect(String location) があり、この中で toAbsolute が呼ばれていて、ここで 相対パス -> 絶対パスへの変換がされているようだ ... protected String toAbsolute(String locatio

安全なウェブサイトの作り方 - 1.4 セッション管理の不備 概要 ウェブアプリケーションの中には、セッションID（利用者を識別するための情報）を発行し、セッション管理を行っているものがあります。このセッションIDの発行や管理に不備がある場合、悪意のある人にログイン中の利用者のセッションIDを不正に取得され、その利用者になりすましてアクセスされてしまう可能性があります。この問題を悪用した攻撃手法を、「セッション・ハイジャック」と呼びます。 また、推測や盗用以外に、セッション管理の不備を狙ったもう一つの攻撃手法として、「セッションIDの固定化（Session Fixation）」と呼ばれる攻撃手法があります。悪意ある人があらかじめ用意したセッションIDを、何らかの方法（脚注1）で利用者に送り込み、利用者がこれに気付かずにパスワードを入力するなどしてログインすると起こりうる問題です。悪意のある

以前はちゃんと動いていたのだが、久しぶりに Apache を再起動したら Phusion Passenger 関連でエラーが出て止まってしまう。 $ sudo /etc/init.d/httpd start Starting httpd: httpd: Syntax error on line 468 of /usr/local/apache2/conf/httpd.conf: Cannot load /usr/local/lib/ruby/gems/1.8/gems/passenger-2.2.5/ext/apache2/mod_passenger.so into server: libapr-1.so.0: cannot open shared object file: No such file or directory 解決法は、次のページにありました。 http://d.haten

NRI OpenStandia Advent Calendar 2020の8日目は、Apache HTTP Serverを題材に取り上げます。 始めに Apache HTTP Server(以下Apache)は昔からよく使われるWebサーバですが、慣れていない人にとっては設定が難しいと思われるようです。 私はApacheの「デフォルト設定ファイル」が複雑で、これが多くの人に苦手意識を生んでいるのではないか？と考えています。そこで今回は、このデフォルト設定ファイルではなく「デフォルト設定値」でApacheを動かしてみよう、という記事を今回書いてみました。 基礎知識 デフォルト設定ファイル vs デフォルト設定値 Apacheの設定の「デフォルト値」としてよく言われるのは、2種類あります。 インストール直後の設定ファイルの値(デフォルト設定ファイルの値) 設定ファイルに設定を記載しなかった場合

SAML アサーションの暗号化とは？ 弊社OSSテクノロジではOpenAMの開発とサポートを行っています。 SAMLといえばOpenAM、OpenAMといえばSAMLという訳ではありませんが、SAMLについて少し書きます。 SAMLアサーション？ SAMLについては、今更詳しく書くことはしませんが、サラッと関連事項だけフォローしておきます。 SAMLとはフェデレーション(シングルサインオン)に使われているプロトコルで、G-SuitesやOffice365、Salesforce、AWSなど主要なクラウドサービスでサポートされています。 SAMLにはIdP（認証サーバー）と、SP（認証を依頼し、認証情報を使うアプリケーションサーバー）の２役ありまして、このIdPからSPへ流れる認証情報をアサーションと呼んでいます。 SAMLアサーションはXML情報なので、暗号化にはXMLの暗号化規約xmlen

はじめに Apache を SAML SP として動作させる mod_auth_mellon について紹介します。 なかなか日本語の記事が見当たらなかったので、インストールや初期設定手順について解説します。 mod_auth_mellonとは mod_auth_mellon は 認証連携プロトコルの SAML をしゃべってくれるApacheのモジュールです。導入するとSAMLのIdPで認証済みのユーザーのみApache配下のコンテンツにアクセス可能な環境を構築できます。 標準の認証連携プロトコル SAML で連携可能なため、IdPはSAMLをしゃべることができれば製品は問いません。OpenAMやADFS等 SAML に準拠した IdP と連携可能です。Keycloakのドキュメントではアプリケーションを保護するためにSAMLで連携すると SP としてmod_auth_mellon が登場し

タグ JavaScript の新しい記事Viteで.envの内容が取得できない時に確認したこと (2023-02-26)JavaScriptのイベントは非同期じゃない (EventTarget) (2021-11-23)選択禁止・右クリック禁止・キーボード操作禁止を全部解除するブックマークレット (2021-06-05)WindowsでJestをファイル指定して起動するにはパスの区切り文字にスラッシュを使わないと (2021-03-26)navigator.clipboard.writeText() で「Document is not focused.」エラー (2020-09-08)

みんな大好きSAML。 Box等のクラウドサービスをADFSとSAML連携してSSOを実装している企業も多いのでは？ 先日SSO絡みでトラブルが発生した際にSAML RequestとResponseの解析方法を調べたので、備忘録として残しておく。 解析手順 1.Chromeで認証画面を開く Chromeで、普段通り認証画面（ユーザIDとパスワードを入力する画面）を開く 2.F12キーを押してChrome開発者コンソール（DevTools）を開く 標準だとWebページと同じウインドウ上に立ち上がってしまって見にくい。 下記を押せば、別ウインドウとして切り離すことが出来る。 3.Networkタブを開き、Preserve logにチェックを入れる 4.Clearアイコンを押して、ログを一旦クリアする 5.認証画面でユーザIDとパスワードを入力し、いつも通りサインインする サインインする事でId

passport.authenticate('facebook');('google');('apple');('microsoft');('twitter');('linkedin');('github');('openid'); Passport is authentication middleware for Node.js. Extremely flexible and modular, Passport can be unobtrusively dropped in to any Express-based web application. A comprehensive set of strategies support authentication using a username and password, Facebook, Twitter, and more.

前提条件 以下URLのプログラムを元にJwt認証用（ステートレス）に変更します。 クラスの説明 以下の6つのクラスを改修、追加します。 ◇設定ファイル 〇WebSecurityConfigクラス（設定） ◇認証（トークン取得） 〇WebUsernamePasswordAuthenticationFilterクラス（認証） 〇WebAuthenticationProviderクラス（検証） 〇SuccessHandlerクラス（認証検証成功時） 〇FailureHandlerクラス（認証検証失敗時） ◇認可（トークン認可） 〇JwtAuthorizationFilterクラス（認可） プログラムの流れ ◇JWTトークン取得する場合 ユーザがトークン取得APIを実行時 ↓ 認証（トークン取得）が動く ◇その他APIにアクセスする場合 ユーザがトークン取得API以外のその他API実行時 ↓ 認可

こちらの記事のようにSpring Securityの設定でID、パスワードによるログインを有効にすると、ログインに関するもろもろを UsernamePasswordAuthenticationFilter というフィルターがよしなにやってくれます。 このあたりの挙動をよく見直すのでざっくり眺めながらまとめてみます。 本記事で出てくる設定は、基本的にhttps://qiita.com/gushernobindsme/items/dc97f80754b7d481a16a の記事を参考にさせていただきました。 大雑把に何をしているのか +------+ +------+ +------+ +----------+ | +---->+ +---->+ +------->+ | | | | | | | | | |filter| |filter| |filter| |Controller| | | |

SLF4JとLogbackの中の人はここ数年活発ではないのでLog4j2などを代わりに使いましょう。 SLF4Jの活動は最近活発ではない SLF4JはVCSとしてGitHubを利用しています。最後の変更が2020年2月、最後のリリースが2019年12月となっていることからも、あまり活発ではないことが伺えます。 またBTSとしてJIRAを使っていますが、こちらもメンテナンスされていません。昨夏SLF4J-209が既にクローズ可能な状態であることやSLF4J-186が修正可能であることなどをコメントしましたが、1年近く経った今もすべて返信がない状態です。 2020年12月にイシューを閉じていたりするので全く動きがないわけではないのですが、年間で22つ作成されたのに対して2つしか閉じられていないので、充分にメンテされているとは言い難い状況です。 2021年5月31日時点での過去360日のイシュー

概要 Spring SecurityとSpring Bootを利用して簡単なRest APIのデモアプリケーションを実装しました。 記事の前半はSpring Security周りの実装、後半がコントローラの実装とそのテストコードについて説明しています。 ソースコードはrubytomato/demo-security-spring2にあります。 環境 Windows 10 Professional Java 1.8.0_172 Spring Boot 2.0.2 Spring Security 5.0.5 参考 Spring Security Reference Hello Spring Security with Boot Spring Boot Reference Guide デモアプリケーションの要件 認証の仕方 このデモアプリケーションは、メールアドレス・パスワードで認証を行います。