安全Java EE Web应用程序和Seam的设计准则

Question

我参加了Java EE Web应用程序的设计过程。 它包括：

• 后端模块（EJB 3.0）
• 3个Web模块（JSF）

我们的应用程序必须是安全的，因此一些同事声称必须将其拆分为两个或更多单独的服务器-后端在一个服务器中，而Webapp在其他服务器中。 在我们的情况下，性能不是问题，但是这种架构要求在EJB层中使用远程接口。

我们还计划合并Seam以简化开发，但是存在一个缺点 。 因此，我们错过了Seam的一些非常酷的功能，例如-SFSB中的扩展持久性上下文

在高安全性方面，对于Java EE Web应用程序的每一层，是否都必须使用具有两个或更多单独服务器/机器的体系结构？ 我没有找到说明这种配置优缺点的资源。 我应该考虑使用哪些其他项目配置选项/安全模式来促进使用Seam？ 换句话说，我们应该坚持这种架构并按原样添加Seam还是应用其他解决方案？

如果有帮助，我们可以使用Spring代替EJB，但是EJB更可取。

Answer 1

这是对您问题的简单答案。...通过3个网络连接进行数据跳转是否更安全（Web-> Web服务器为1，Web服务器->远程EJB为2，远程EJB-> DB是3），还是2个网络连接？ 2网络连接本来就更安全，因为在网络上进行恶意监听的可能性较小。 如果攻击者能够读取Java用于从Web服务器中收集数据的内存，那么您将遇到更大的问题，而单独的服务器将无法解决这些问题。