PagesJoget Workflow v6 知识库部署指南

安全最佳实践


SSL

启用SSL将确保最终用户的浏览器与服务器之间的通信是安全的。请参阅  在Tomcat  上设置SSL以了解更多信息。

SSL是什么

SSL  (安全套接字层)是在Web服务器和浏览器之间建立加密链接的标准安全技术。

不使用SSL

如果在最终客户端和服务器之间没有使用SSL,那么在这两方之间发送的任何数据都将容易受到黑客的数据嗅探,因为数据包从一端到另一端。

 

API调用的域白名单

请参阅  “设置中的API域白名单”  ,将使用Joget API的域列入白名单。

Advantage

通过启用此选项,只有列出的服务器才能与服务器通信。

目录用户访问控制

保持良好的密码策略管理将确保用户的密码安全。  建议使用安全增强型目录管理器。在  安全增强目录管理  功能,加强用户管理的安全性和控制。

 使用TOTP启用  多因素身份验证  也是它的另一个优势。

Advantage

通过启用此选项,这将增加用户登录信息的安全性。

不使用SSL

如果在终端客户端和服务器之间没有使用SSL,则登录信息将以未加密的明文形式发送到终端服务器。

进程开始白名单

利用Map Participants to Users下的此功能   来限制谁可以启动流程实例。


用户视图菜单权限控制

权限控制  用于在开发的Joget应用程序中对各种组件进行控制和管理访问。有4个主要组件/区域可以进行权限控制。他们是:-

  • 用户视图
  • Userview类别
  • 表单
  • 表单分区

仅在用户登录后才显示应用程序中心中的应用程序

最常见的做法是仅在用户登录时在App Center中列出应用程序。为此,请到您的应用程序的“用户视图属性 ”,然后找到“ 权限类型”并将其设置为“ 登录用户”

阅读  权限控制


密码加密

在应用程序设计过程中,出于安全目的,任何敏感信息(如密码)均可能被加密 您可以更改Joget Workflow服务器中使用的密钥和salt,以进一步增强其安全性。

对密钥和salt进行更改将使所有密码在现有服务器中不可用,因此建议在初始服务器安装期间执行。

Import/Export App

在导出的应用程序中,保存在应用程序设计中的任何密码也将被加密。因此,当应用程序导入到另一台服务器时,请确保将所有保存的密码重新配置为具有不同密钥和salt的服务器,否则会导致密码不可用。

\ apache-tomcat-8.5.14 \ webapps \ jw \ WEB-INF \ classes中 找到customApplicationContext.xml文件  ,  并在第6-9行添加,如下所示。  


1  					<beans xmlns="http://www.springframework.org/schema/beans"
2					      			xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
3					       			xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.5.xsd">
4					   
5					    	<bean id="dataEncryption" class="org.joget.apps.workflow.security.SecureDataEncryptionImpl">
6				        			<property name="salt" value="NEW-VALUE-GOES-HERE"/>
7				       				<property name="key" value="NEW-VALUE-GOES-HERE"/>
8					   		 </bean>  
9						      
10					</beans>

将7和8行关键值替换为你自己的。

文档更新时间: 2018-11-06 07:54   作者:尧杰