6/27

ログインの件、ご回答ありがとうございます。
ログイン専用の画面を作成し、遷移元URLをパラメータで渡したのですが、警告メッセージが出ます。
オープンリダイレクト攻撃に対して弱くなるそうですが、入力パラメータ以外での値を想定されて書かれていましたら、もう少し詳細を教えていただけないでしょうか。

ScreenのInput Parameterに渡したURLに直接遷移すると発生する脆弱性ですね。 https://success.outsystems.com/ja-jp/documentation/11/reference/errors_and_warnings/warnings/open_redirect_warning/ に書かれていた対策なら、ログイン画面のData Actionで受け取ったURLに対して、HttpRequestHandlerのReplaceURLDomainを適用し、その結果に対して遷移することで回避できます。 他には、 1. Input ParameterにはeSpace Idやモジュール名を渡し、(System)にあるeSpaceのEntityを検索し、結果のレコードから取得したモジュール名に゙遷移する 2. 別途管理画面を作成し、例えば遷移元モジュール名と、ログイン成功後の遷移先URLをセットで登録しておく。画面のInput Parameterには遷移元モジュール名を渡す 3. 別途Entityと登録用Actionを用意しておき、遷移元モジュール側でログインリクエスト前にログイン成功後の遷移先URLを登録しておく。画面のInput Parameterにはそのレコードを特定する情報を渡す などが考えられますね。 これ、と確立したやりかたは多分ないので、環境ごとの条件を検討の上、最も合うものを考えるのが良いと思います。

スポンサーリンク

スポンサーリンク

スポンサーリンク