La API AccessibleObject permite que el programador eluda las comprobaciones de control de acceso proporcionadas por los especificadores de acceso de Java. En particular, permite que el programador permita que un objeto reflejado eluda los controles de acceso de Java y a cambio cambie el valor de los campos privados o invoque métodos privados, es decir, comportamientos que normalmente están prohibidos.

Muchas aplicaciones utilizan cookies para comunicar el identificador de sesión de un usuario. Cuando se accede a la aplicación a través de HTTPS, las cookies están protegidas (los atacantes no pueden examinarlas). Pero si los desarrolladores permiten el acceso HTTP a partes no sensibles de la aplicación, el identificador de sesión puede ser objeto de robo. Cuando un usuario se dirige a una parte no protegida del sitio, la cookie, que contiene el identificador de sesión, se envía sin cifrar. Si los atacantes examinan el tráfico, pueden ver el identificador de sesión y usarlo para tomar el control de la sesión del usuario.


El siguiente ejemplo muestra una configuración que mezcla canales poco seguros y seguros:

  <property name="filterInvocationDefinitionSource">
    <value>
      CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
      \A/secure/.*\Z=REQUIRES_SECURE_CHANNEL
      \A/acegilogin.jsp.*\Z=REQUIRES_SECURE_CHANNEL
      \A/j_acegi_security_check.*\Z=REQUIRES_SECURE_CHANNEL
      \A.*\Z=REQUIRES_INSECURE_CHANNEL
    </value>
  </property>

Acegi Security permite reemplazar temporalmente el objeto Authentication en SecurityContext durante la fase de devolución de llamada del objeto seguro. Esta situación solo ocurre si el objeto Authentication original fue procesado correctamente por AuthenticationManager y AccessDecisionManager. RunAsManager crea este objeto Authentication.
Normalmente, los desarrolladores utilizan RunAsManager para configurar uno o más roles adicionales para un usuario autenticado durante la invocación de un método. Esta opción es útil en el caso de un archivo Bean seguro que necesita acceder a una aplicación remota. Dado que la aplicación remota puede exigir diferentes credenciales, esta posibilidad permite traducir entre los roles de llamada y los que necesita la aplicación remota para que el acceso remoto pueda tener éxito. El nuevo objeto Authentication (llamado RunAsUserToken) simplemente se aceptará como un objeto de autenticación válido sin ninguna comprobación adicional de autenticación o autorización.
Agregar nuevos roles o privilegios al nuevo objeto Authentication tiene el potencial de elevar temporalmente los privilegios del usuario, lo que le permite realizar una acción no autorizada.
La siguiente configuración muestra el uso de RunAsManager para agregar el rol "UBER_BOSS" a un usuario que tiene el rol "ROLE_PEON", de forma que se elevan temporalmente los privilegios de este usuario a administrador, lo que permite a todos los peones obtener datos del PrivateCatalog.

<bean id="bankManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
...
 <property name="objectDefinitionSource">
   <value>
     com.example.service.PrivateCatalog.getData=ROLE_PEON,RUN_AS_UBER_BOSS
...
   </value>
 </property>
</bean>

De forma predeterminada, los flujos de tareas en una aplicación Fusion no son directamente accesibles desde una solicitud GET: cada vez que una URL intenta invocar el flujo de tareas, recibe un código de estado HTTP 403. Sin embargo, confiar en una configuración implícita siempre carece de claridad y puede conducir a comportamientos no deseados si la configuración predeterminada cambia de forma inesperada.

Ejemplo 1: El siguiente fragmento de un archivo de definición de flujo de tarea muestra un ejemplo de flujo de tarea configurado con el ajuste implícito predeterminado url-invoke-disallowed.

...
    <task-flow-definition id="password">
        <default-activity>PasswordPrompt</default-activity>
        <view id="PasswordPrompt">
            <page>/PasswordPrompt.jsff</page>
        </view>
        <use-page-fragments/>
    </task-flow-definition>
...

En una aplicación JSF normal, los valores se convierten y validan mediante convertidores y validadores especificados por los componentes de la interfaz de usuario. La conversión y validación en sí ocurre cuando se envía la página. Una vista que se puede marcar en una aplicación Fusion no causa el envío de páginas y, por lo tanto, no se realiza una conversión o validación similar de forma predeterminada.

Ejemplo 1: El siguiente fragmento de archivo de configuración muestra una vista de muestra, que se puede marcar como favorita, configurada para no realizar ninguna conversión o validación del parámetro de URL paramName.

...
    <bookmark>
        <method>#{paramHandler.handleParams}</method>
        <url-parameter>
            <name>paramName</name>
            <value>#{requestScope.paramName}</value>
        </url-parameter>
    </bookmark>
...

Los valores de atributos de los componentes de Oracle ADF Faces solo se pueden establecer normalmente en el servidor. Sin embargo, diversos componentes permiten al desarrollador definir una lista de atributos que se puede establecer en el cliente. El atributo unsecure de estos componentes puede especificar una lista de este tipo.

El único atributo que puede aparecer actualmente dentro del atributo unsecure es disabled; este permite que el cliente defina los componentes que se habilitarán y aquellos que no. Nunca es recomendable dejar que el cliente controle los valores de los atributos que solo deben establecerse en el servidor.

Ejemplo: el siguiente código muestra un componente inputText que recopila información de contraseñas del usuario y utiliza el atributo unsecure.

...
    <af:inputText id="pwdBox"
                  label="#{resources.PWD}"
                  value=""#{userBean.password}
                  unsecure="disabled"
                  secret="true"
                  required="true"/>
...

El almacenamiento de claves de cifrado en campos de clase estáticos permite que estas se puedan obtener con facilidad por parte de entidades con acceso a la memoria de procesamiento (por ejemplo, un dispositivo con acceso root) o a los volcados de memoria de procesamiento (por ejemplo, los volcados de memoria).