标签：sess 登录 RTSP 用户 EasyNVR 多点 拉流 ID user
上一篇我们讲了TSINGSEE青犀视频平台EasyNVR内登陆鉴权的优化，通过优化登陆鉴权，我们可以抵御很多分发用户的***。在该问题优化完成后，我们模拟不法分子的***对EasyNVR的安全性进行了测试，EasyNVR已经达到了一个安全性很高的级别。
但是在这其中，我们发现系统允许多点认证，假设***者已经获取到某位用户的账号密码，则可利用该缺陷在该用户已登录且未知的情况下重复登录，操作用户账户。
这个问题可以说是多点认证一个通病，当初TSINGSEE青犀视频在对EasyNVR的认证机制设计的时候，为了让用户在不同终端都可以进行身份认证，就增加了这个认证。
建议在不影响业务的前提下，关键业务系统应禁止多点认证。当同一账号在其他地方登录时已登录的账号应退出会话，并提示用户账户在其他地区登录，可能存在账号被盗风险。
分析问题：
因为EasyNVR后端使用的是session作为服务端用户的唯一标识，用户每登录一次，浏览器就会记录登录信息，过期时间为7天；或是用户主动点击退出登录，这样浏览器就会清除登录信息，服务端也会清除登录信息。于是我们想到在登陆的时候，如果EasyNVR这个用户已经登录过了，就将之前的已经登录系统的EasyNVR用户的信息清除。
解决问题：
判断代码如下：
var user models.User
models.DB.Where(&models.User{Name: form.Username}).First(&user)
if user.ID == 0 {
incLoginFailedCount()
c.AbortWithStatusJSON(401, "用户名或密码错误")
return
}
if !strings.EqualFold(user.Password, form.Password) && !strings.EqualFold(utils.MD5(getMasterKey()), form.Password) {
incLoginFailedCount()
c.AbortWithStatusJSON(401, "用户名或密码错误")
return
}
resetLoginCount()
sess := sessions.Default(c)
sess.Set("uid", user.ID)
sess.Set("uname", user.Name)
// 判断该用户是否已经登录过了
_, ok := LoginSessions[user.ID]
if ok {
// 限制一个用户只能在一个地方登录，后登录会挤掉前面一个用户
sso := utils.Conf().Section("base_config").Key("sso").MustBool(false)
if sso {
RemoveSSOSession(user.ID)
}
}
SetSSOSession(user.ID, sess)
ack := NewMsgAck()
ack.EasyDarwin.Header.MessageType = MSG_SC_SERVER_LOGIN_ACK
ack.EasyDarwin.Body["Token"] = sess.ID()
ack.EasyDarwin.Body["TokenTimeout"] = utils.Conf().Section("base_config").Key("token_timeout").MustInt(7 * 86400)
c.IndentedJSON(http.StatusOK, ack)func SetSSOSession(uid int, sess sessions.Session) {
if LoginSessions == nil {
LoginSessions = make(map[int]sessions.Session)
}
LoginSessions[uid] = sess
}
func RemoveSSOSession(uid int) {
sess := LoginSessions[uid]
sess.Destroy()
sessions.RemoveToken(models.DB, store, sess.ID())
}解决效果：
下面我们测试以上代码是否生效。
打开两个浏览器，同时使用EasyNVR这个用户登录系统，当第二个浏览器内的EasyNVR用户登录后，此时第一个浏览器内的EasyNVR用户登录会被挤下线，并且会返回提示信息，该功能生效。
标签：sess,登录,RTSP,用户,EasyNVR,多点,拉流,ID,user 来源： https://blog.51cto.com/u_15179958/2731392
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。