Sicurezza
La sicurezza dell’applicazione viene avviata durante la fase di sviluppo. L’Adobe consiglia di applicare le seguenti best practice per la sicurezza.
Usa sessione di richiesta
In base al principio del privilegio minimo, l’Adobe consiglia di eseguire ogni accesso all’archivio utilizzando la sessione associata alla richiesta dell’utente e un controllo di accesso appropriato.
Protect contro il cross-site scripting (XSS)
Il cross-site scripting (XSS) consente agli aggressori di inserire codice nelle pagine web visualizzate da altri utenti. Questa vulnerabilità di sicurezza può essere sfruttata da utenti Web malintenzionati per aggirare i controlli di accesso.
L'AEM applica il principio di filtrare tutti i contenuti forniti dall'utente al momento dell'output. Prevenire l’XSS è data la massima priorità sia durante lo sviluppo che durante il test.
Il meccanismo di protezione XSS fornito da AEM si basa sulla libreria Java™ AntiSamy fornita da OWASP (The Open Web Application Security Project). La configurazione predefinita di AntiSamy è disponibile all'indirizzo
/libs/cq/xssprotection/config.xml
È importante adattare questa configurazione alle proprie esigenze di sicurezza sovrapponendo il file di configurazione. La documentazione ufficiale di AntiSamy fornisce tutte le informazioni necessarie per implementare i requisiti di sicurezza.
NOTEInoltre, un firewall dell'applicazione Web, ad esempio mod_security per Apache, può fornire un controllo centrale e affidabile sulla sicurezza dell'ambiente di distribuzione e proteggere da attacchi di cross-site scripting non rilevati in precedenza.