問題タブ [confidential]

Tomcat 6.0.10 を使用する Java/Struts アプリケーションに取り組んでいます。これは、ユーザーがいくつかのフォームを編集し、PDF をストリーミングできるようにする典型的な Web アプリケーションです。さかのぼって、次のように追加しました。

そのため、非ストリーミング ページはすべて https に強制され、キャッシュされません (私たちは考えました)。システム内のストリーミング ページには別の制約エントリがあります。

IE6 での最近のテストでは、「ときどき」ページがキャッシュされていることがわかりました。CONFIDENTIAL フラグと同様に、以前は次のものも使用していました。

しかし、IE6 で醜い再投稿警告を引き起こしているように見えたため、これらを削除しました。CONFIDENTIAL transport-guarantee には、ページのブラウザー キャッシュを防止するための適切なメカニズムもすべて含まれていると考えました。この問題は Tomcat に任せて適切に処理してもらいたいと考えています。

これを行うための「正しい」方法は何ですか。そうすれば、将来（できるだけ多くの）問題が発生しなくなりますか？

キャッシングの問題は IE6 の特定のバグが原因ですか? それとも特定のリリースのセットだけですか? これは 7 および/または 8 で発生しますか?

更新:チェックしたところ、Tomcat は Pragma、Cache-Control、および Expires パラメータを正しく送信しているため、それは問題ではありません (まあ、no-string と max-age の値は送信されていませんが、それでも問題ではありません)。 .

問題は、Apache Portable Runtime (APR) 1.1.8 であることが判明しました。理由は完全にはわかりませんが、どういうわけか、単一のリクエストから重複したブラウザ アクションを作成しています。無効な Struts トランザクション トークンが含まれているため、ページがキャッシュされているように見えましたが、実際には、同じリクエストの 2 番目の実行バージョン (間違ったセッション ID を持つ) が、セッション内の元のリクエストのトークンを上書きしていました。1.1.16 にアップグレードすると、問題が修正されました。

一部のリクエストが重複している (ただしセッション ID が異なる) 理由は、まだ謎です...

ポール。

組み込みのフォームベースのログインメカニズムの機密保持のためにSSLを要求するようにTomcat（またはそのように行われている場合はWebアプリケーション）を設定できますか？

つまり、ユーザーの資格情報を保護し、他のトランザクションに標準のhttpを使用しますか？

私はジャーナルWebアプリを開発しており、最大の問題として私が予測していることに取り組んでいます。他の人のエントリを読まないように信頼しています。私がこれまでに持っている解決策は次のとおりです。

• ユーザーは、ログインするたびに秘密鍵を提供します。ユーザーデータと一緒に保存されることはなく、セッションの存続期間中のみ保持されます。
• ユーザーが書き込む各エントリは、このキーを使用して暗号化されます。同様に、エントリを開こうとすると、このキーを使用してエントリが復号化されます。
• 間違ったキーが入力された場合、指定されたエントリはジバーリッシュとして返されますが、これにより、ユーザーは必要に応じて異なるキーでエントリを保存できます。

キーを記録しないという信頼が私にありますが（後で同じコードを特徴とするシングルユーザーバージョンを配布したいと思っています）、これを行うためのより一般的な方法があるか、どこかでこの考え方に欠陥があります（私はセキュリティや暗号化についてあまり知識がありません。md5/ sha1 / blowfishの理解が不安定な場合もあります）。これはこれを行うための最良の方法ですか？

私は現在、 TellMeStraightとSuggestionDropの2つのツインアプリを持っていますが、これらは機能しますが、この質問の対象となる小さな欠陥があります。2つのアプリは同じですが、TellMeStraightの表現の一部が個人とのコミュニケーションに向けられており、SuggestionDropの表現が企業/組織とのコミュニケーションに向けられている点が異なります。両方のアプリの目的は、（A）個人または企業/組織が（B）学生/クライアント/顧客/メンバーなどと機密/匿名の会話を行えるようにすることです。

ここに問題があります。AからBおよびBからAへの通信は、完全に匿名のWebリンクを介して行われますが、BからAへの（電子メール）通信は、 Aからではなく、私から のものであるように見えます。 。問題は、gaeはアプリのユーザーからではなく、アプリの所有者からのメールの送信のみを許可することです。以下のコードのコメント化された行から、問題をいくらか見分けることができます。コメント付きの行を使用しようとすると、システムエラーが発生しました。（ところで、私はセキュリティのために以下の自分のメールアドレスを変更しました。）

だから私の質問は、このアプリを再設計してgaeを使い続けるが、この問題を取り除く方法について何か提案はありますか？（たとえば、グーグルの「ドキュメント」を使用できますか、それとも私の返信メールアドレスをなんとか省略できますか？）

添付ファイル付きの電子メールを機密として送信する方法をオンラインで検索しています。添付ファイル付きの電子メールを送信できるようにするスクリプトを既に作成できましたが、機密として送信する方法がわかりません。

VBScript で電子メールの機密性を設定する方法を教えていただければ幸いです。

これが私のコードです：