发表新帖

发表新帖

登录授权接口 oauth/token，cloud版的用户名密码的校验代码在什么地方？

Blade 已结

关注举报

 2  361

jiashaCocoa 剑者 2023-05-31 15:10

悬赏：10

一、该问题的重现步骤是什么？

1. 由于软件在安全评测中出现了敏感词，username，password等字段，需要将这些字段做个修改。

2. 由于bladeX 的oauth/token是在spring中封装，没有找到关于用户名密码的获取与校验的代码。

二、你期待的结果是什么？实际看到的又是什么？

我想把oauth/token的传参映射做一下处理，password改为mm，用户名改为yhm。

三、你正在使用的是什么产品，什么版本？在什么操作系统上？

我是用的是bladex-3.0.1.release

四、请提供详细的错误堆栈信息，这很重要。

五、若有更多详细信息，请在下面提供。

2条回答

admin (最佳回答者)

2023-05-31 21:13

逻辑在如下代码，内部做一个接口转发应该就能解决了。
但是这是oauth2的标准协议，理论上是不需要进行整改的，你们安全评估的公司资质如何？是只会用工具机械扫描，还是说确实是有真材实料的？

作者追问:2023-05-31 21:13

安全评估的公司资质不详，应该只是工具机械扫描，接口转发是可行的。
如果转发接口是不是用resttemplate转发到localhost的这个接口里面就行了？

0 讨论(2)
评论:

提交评论
- 加载中...
jiashaCocoa

2023-06-01 17:29

安全评估的公司资质不详，应该只是工具机械扫描，接口转发是可行的。
如果转发接口是不是用resttemplate转发到localhost的这个接口里面就行了？

作者追问:2023-06-01 17:32

是的，对外暴露你们的一个新接口，在新接口那把参数重新组装，内部去调用/oauth/token的原版接口就行，用HttpUtil、Reuqest、RestTemplate等http工具类都可以。
对外的话，可以用nginx把/oauth/token阻断，只让内网访问，这样转发就没问题了，外部也无法扫描到。

0 讨论(0)
评论:

提交评论
- 加载中...

官方产品

BladeX 企业级开发平台 BladeX 可视化数据大屏

官方推荐

阿里云服务器限时1折优惠

热议问题: application.yml文件通过spring.profiles.active配置启动环境不生效 1; blade商业版 blade-starter-mybatis工程，resolveEntity函数关于多租户处理逻辑的困惑 1; 读取nacos配置读取不到正确的 1; 关于查询的时间范围字段 1; 发现4.0.1 全部都没有了,2024/05/30 09-30 我哪里说错了,而且删的,我说错了吗? 1; 后台新建空对象，类型为数字时，应该返回null/0，返回-1什么意思？为什么这么修改源码 1; boot版本如何进行数据权限的自定义配置？ 1; centos7 docker blade-resource 文件上传不成功 1; 发现4.0.1 java.lang.reflect.InaccessibleObjectException->Unable to... 2; 发现4.0.1 我的不可以,(比如: R.data(xxWrapper.build().pageVO(pages))-> Notice，冲突NoticeVO) 1

扫一扫访问 Blade技术社区移动端