使用Java Servlet API存儲敏感

Question

我有一個運行在Java Servlet Web容器上運行的Web應用程序，特別是在IBM WebSphere上。我的問題是：是否存在推薦的方法（作為Java Servlet API的一部分）存儲敏感數據，例如用戶密碼。 我可以隨時從頭開始編寫自己的解決方案，只是想知道是否有更多的標准方法可以實現相同的目的。

Answer 1

什么種類

• 配置數據，例如數據庫用戶名+密碼，
• 還是像會員帳戶這樣的海量數據？

配置數據可以作為JNDI數據源等存儲在應用程序之外（戰爭）。 這意味着開發人員無需訪問部署配置，並且可以定期更新部署配置的密碼。

對於海量數據：密碼應作為加密種子（不可逆）存儲，請注意不要使用不合適的加密（例如，將具有相同前綴的密碼加密為相同前綴）。

對於諸如患者記錄之類的東西，地址數據可能是可解密的，因此轉儲公開的信息較少。

使用一個或多個具有受限權限的數據庫用戶帳戶。

做好備份工作：總的數據庫轉儲是非常誘人的財富。 壓縮后，可能會在同一管道中對其進行加密。

Answer 2

我不確定您指的是哪種密碼和用戶名，但是如果您的Web應用程序具有與數據庫的連接，則可以登錄到管理控制台並使用JNDI設置連接。

這是路徑：

資源>數據源> your_DataSource（設置數據源）> JAAS-J2C認證數據> Your_user（設置用戶，存儲用戶和密碼）