コメント:0認証確認方式セッションが認証済みセッションであるかどうかを確認する方式として以下の3つの方式が挙げられる。(1)Actionの基底クラスで実装する。問題点、JSPが無防備になる。(2)SpringAOPで実装する。問題点JSPが無防備になる。(3)Filterで実装する。利点、JSPも保護できる。コメント:0Web開発するときに気になること入力値の妥当性チェックサーバで必ず行うクライアントでの入力値チェックはユーザビリティの向上させる必要がある場合に実施する。)を変換する機能を持つ。SQL出力時にはバインドメカニズムを利用してSQLインジェクションを防ぐプレースホルダとして「?」記号を使用しSQL文をあらかじめコンパイルしておくこと。外部コマンド呼び出し時の妥当性チェックhttp://www.atmarkit.co.jp/fsecurity/rensai/webhole02/webhole02.htmlファイル名指定時の妥当性チェック任意の場所にファイルをアップロードされる事がないように、ファイル名に使用される記号をサニタイジングする。できれば通信は全てSSLで保護する。デプロイメント記述子の、cookie-secureをtrueに設定する。接続でのみ返信するようブラウザに指示する。サイトでのみ使用されるようになる。クッキーは機能しなくなる。安全なセッションIDの使用セッションID用のcookieの生成・維持はWebLogicサーバによって自動的に行われます。アクセス権限のチェックチェックしましょう。セッションタイムアウトの設定セッションは一定時間が過ぎると切断されるように設定する。長期(例えば1日以上)のセッション保持は行わない。Cookieの有効ドメイン範囲制限Cookieの有効度メイン範囲は必ず限定しCookieの漏洩を防ぐ。指定しない事Weblogicではデフォルトでユーザがブラウザを終了すると期限が切れるようにクッキーが設定されているので問題ありません。認証後に、新たなセッションIDを発行する事。ログインページではセッションIDを発行しないセッションIDをGETメソッドで送らないCookieによるセッションIDの管理を行う。本案件ではユーザ名、パスワードでのログインは行わない。平文パスワード保存の禁止DBに保存するパスワードはハッシュ化しましょう。秘密情報は画面へ表示しない秘密情報は画面へ表示しない事。表示しなければならない場合、マスクして表示するなどの対策を行う。本番環境にソースファイルやバックアップファイルなど不要なファイルを置かない。アタックの足がかりになることがあります。「セキュリティアセスメントサービス」等を受けるようにする。Webシステムペネストレーションテストの実施コンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の一つで、システムを実際に攻撃して侵入を試みる手法。実際にWebサーバへアクセスしアタックを行いセキュリティホールが存在しないか確認する。-Xmx256m</value>上記ファイル色々いぢるが反映されずーダメです。startWebLogic.cmdが作られているようです。やって作るのかわからないので手っ取り早くsetDomainEnvを直接以下のように変更した。C:\bea\weblogic92\samples\domains\workshop\bin\setDomainEnv.cmdとりあえず半分の値にしてみた。-Xmx256mポイントベースも邪魔なのでfalseにする。POINTBASE_FLAG=false上記設定でとりあえずWeblogicのメモリ使用量が半分以下になった。情報を元にしてページにhiddenフォームでIDを埋め込んでしまうのはいかがでしょう?最後に発行したIDをセッションに記録するなどして、そのセッションに対して直前にサーブレットが割り当てたIDをもつ処理しか受け付けないようにします。処理後は別のIDを割り当てて、変更が反映されたページを返すと同時に、セッションに関連づけられたIDを更新します。すれば毎回別々のIDを使わなければならないので、リロード処理のように同じIDを送るものを排除できると思うのですが。商品Aを2個追加→商品Aをさらに2個追加のような処理が無視される恐れも排除しなければなりませんし。コメント:0負荷テストツールについて調べた高負荷試験には、高負荷をかけるためのソフトウェアを使用します。サーバの負荷テストツールの情報をください。サービスを提供するためのモジュールです。フレームワークに働きかけを行います。プロバイダに置き換えることができます。プロバイダの開発http://edocs.beasys.co.jp/e-docs/wls/docs92/dvspisec/index.html懸案事項として、ハッシュ方式によるシングルサインオン設計をWebLogicの提供するセキュリティフレームワークにそって開発する必要がある。工数はそこそこかかりそうな雰囲気。15d~20d見積もった方が良いかもしれない。WebLogicにはSAMLによるシングルサインオンの為の相互認証機能が備わっている。実装方式はどちらかというと『エージェント型』のようだ。