SecureTokenManager (javadoc-all-dev 8.0.0 API)

java.lang.Object
- jp.co.intra_mart.foundation.secure_token.SecureTokenManager

```
public class SecureTokenManager
extends Object
```
SecureTokenを管理するクラスです。
このクラスは、SecureTokenの生成、および、正当性のチェックを行います。

SecureTokenとは？
データを登録するためのURLや、ログイン処理を実行するためのURLに直接アクセスし、不正な処理の要求を防ぐための技術です。
SecureTokenでは、正規の手順を辿っているアクセスに対して実行を許可し、そうではない不正なアクセスをブロックします。
リクエストが正規の手順で実行されているかどうかの判定は、対象のページより前にアクセスする画面でアクセスしたことを示すトークンを発行することで判定します。
- サーバは正規のアクセスに対しトークンを発行し、クライアントに送信します。トークンはセッションに保存しておきます。
- クライアントは、サーバから受け取ったトークンをリクエストパラメータに入れて次の画面にアクセスする要求をします。
- サーバはセッションに保存したトークンと、リクエストで送信されたトークンを比較します。トークンが一致すれば、正規なアクセスなのでアクセスを許可します。
- トークンが一致しない、あるいは、トークン自体を送信してこないアクセスは、正規手順ではないアクセスなのでアクセスを許可しません。
トークンを発行する画面を経由しないアクセスは、不正なアクセスと見なして遮断できます。
具体的には、以下のようなリクエストを遮断できます。
- ログイン画面を表示していないのに、ログイン処理URLにアクセスされた場合。
- 登録情報入力画面を表示していないのに、登録処理URLにアクセスされた場合。
トークンを生成する方法として以下の方法があります。
- 本クラスの createToken(boolean) メソッドを使用する
- imSecureTokenタグを使用する
トークンの整合性をチェックする方法として以下の方法があります。
- 本クラスの verify() メソッドを使用する
- トークンフィルタを使用する
  詳しくは、設定ファイルリファレンスの「セキュア・トークンフィルタ設定」を参照してください。
このAPIはWeb環境での使用を前提にしています。それ以外の環境では正常に動作しませんので注意してください。
サンプル
ImSecureTokenタグとトークンフィルタを利用して、CSRF攻撃を防ぐサンプルを以下に示します。
（ページ「receiver」へのリクエストが正規利用者の意図したものであることを確認するサンプルです）

JSP
```
 <%@ page contentType="text/html; charset=UTF-8" pageEncoding="UTF-8" %>
 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
 <%@ taglib uri="http://www.intra-mart.co.jp/taglib/imst" prefix="imst" %>
 <form action="receiver" method="post">
   <input type="input" name="foo" value="FOO" />
   <input type="input" name="bar" value="BAR" />
   <input type="submit" />
   <imst:imSecureToken />
 </form>
 
 
```
トークンフィルタの設定ファイル
ページ「receiver」が保護されるように設定されています。
WEB-INF/conf/token-filtering-target-config/ 配下に以下のxmlファイルを配置します
```
 <?xml version="1.0" encoding="UTF-8"?>
 <p:token-filtering-target-config xmlns:p="http://www.intra-mart.jp/secure-token/target-url-config" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.intra-mart.jp/secure-token/target-url-config ../../schema/token-filtering-target-config.xsd ">
   <p:entry url="/receiver"/>
 </p:token-filtering-target-config>
 
```
導入されたバージョン:

8.0.0

バージョン:

8.0.31

フィールドのサマリー

フィールド
修飾子とタイプ	フィールドと説明
`static String`	`REQUEST_PARAMETER_NAME` トークンをリクエストパラメータにセットするときの名前です。
`static String`	`SESSION_ATTRIBUTE_NAME` トークンを格納するセッションの属性名

コンストラクタのサマリー

コンストラクタ
コンストラクタと説明

SecureTokenManager(javax.servlet.ServletRequest request)
コンストラクタ

コンストラクタ
コンストラクタと説明
`SecureTokenManager(javax.servlet.ServletRequest request)` コンストラクタ

メソッドのサマリー

すべてのメソッドインスタンス・メソッド concreteメソッド
修飾子とタイプ	メソッドと説明
`SecureToken`	`createToken(boolean useOneTimeToken)` トークンを生成します。
`SecureToken`	`createToken(boolean useOneTimeToken, Map<String,List<String>> parameter)` トークンを生成します。
`boolean`	`verify()` トークンの正当性をチェックします。
`boolean`	`verify(String token)` トークンの正当性をチェックします。
`boolean`	`verify(String token, Map<String,List<String>> parameter)` トークンの正当性をチェックします。

クラスから継承されたメソッド java.lang.Object
clone, equals, finalize, getClass, hashCode, notify, notifyAll, toString, wait, wait, wait

- フィールドの詳細
  - SESSION_ATTRIBUTE_NAME
```
public static final String SESSION_ATTRIBUTE_NAME
```
    トークンを格納するセッションの属性名
  - REQUEST_PARAMETER_NAME
```
public static final String REQUEST_PARAMETER_NAME
```
    トークンをリクエストパラメータにセットするときの名前です。
    
    関連項目:
    
    定数フィールド値
- コンストラクタの詳細
  - SecureTokenManager
```
public SecureTokenManager(javax.servlet.ServletRequest request)
```
    コンストラクタ
    
    パラメータ:
    
    request - リクエスト
- メソッドの詳細
  - createToken
```
public SecureToken createToken(boolean useOneTimeToken)
                        throws SecureTokenException
```
    トークンを生成します。生成したトークンは、セッションに格納されます。
    このメソッドで生成されるトークンにはパラメータの情報を含めません。
    パラメータ:
    useOneTimeToken - 生成するトークンを一回限りの利用とするかを指定します。
    
    trueを指定した場合、1回限り有効なトークンを作成します。
    
    falseを指定した場合、再利用可能なトークンを作成します。
    戻り値:
    
    トークン
    
    例外:
    
    SecureTokenException - トークン生成中に例外が発生した場合にスローされます。
  - createToken
```
public SecureToken createToken(boolean useOneTimeToken,
                               Map<String,List<String>> parameter)
                        throws SecureTokenException
```
    トークンを生成します。
    生成したトークンは、セッションに格納されます。
    
    パラメータを指定することで、パラメータをハッシュ化したトークンを生成できます。
    受け取り側画面で受け取ったパラメータを同様にハッシュ化することで、パラメータが変更されていないか照合できます。
    パラメータのMapに含む値は複数指定できます。値がひとつの場合でも、Listを指定する必要があります。
    パラメータ:
    useOneTimeToken - 生成するトークンを1回限りの利用とするかを指定します。
    
    trueを指定した場合、1回限り有効なトークンを作成します。
    
    falseを指定した場合、再利用可能なトークンを作成します。
    parameter - パラメータ
    
    戻り値:
    
    トークン
    
    例外:
    
    SecureTokenException - トークン生成中に例外が発生した場合にスローされます。
  - verify
```
public boolean verify()
               throws SecureTokenException
```
    トークンの正当性をチェックします。
    トークンがリクエストパラメータに含まれていて、かつパラメータが改変されていない場合はtrueを返します。
    以下の場合はfalseを返します。
    - トークンがリクエストパラメータに含まれていない。
    - トークンが正当なものではない。
    - トークンを生成したときとはパラメータ値が違う。
    - トークンがすでに無効化されている。
    intra-mart Accel Platfrom 2014 Summer(version 8.0.8)以降、
    以下のシステムプロパティの値をtrueに設定することで、必ずtrueを返却します。（開発用です。運用中は利用しないでください。）
    jp.co.intra_mart.foundation.secure_token.SecureTokenManager.ignore_token_check
    戻り値:
    
    トークンの正当性を返却します。
    
    例外:
    
    SecureTokenException - トークン生成中に例外が発生した場合にスローされます。
  - verify
```
public boolean verify(String token)
               throws SecureTokenException
```
    トークンの正当性をチェックします。
    指定されたトークンが改変されていない場合はtrueを返します。
    以下の場合はfalseを返します。
    - トークンが正当なものではない。
    - トークンを生成したときとはパラメータ値が違う。
    - トークンがすでに無効化されている。
    intra-mart Accel Platfrom 2014 Summer(version 8.0.8)以降、
    以下のシステムプロパティの値をtrueに設定することで、必ずtrueを返却します。（開発用です。運用中は利用しないでください。）
    jp.co.intra_mart.foundation.secure_token.SecureTokenManager.ignore_token_check
    パラメータ:
    
    token - トークン
    
    戻り値:
    
    トークンの正当性を返却します。
    
    例外:
    
    SecureTokenException - トークン生成中に例外が発生した場合にスローされます。
    
    導入されたバージョン:
    
    8.0.11
  - verify
```
public boolean verify(String token,
                      Map<String,List<String>> parameter)
               throws SecureTokenException
```
    トークンの正当性をチェックします。
    指定されたトークンが改変されていない場合はtrueを返します。
    以下の場合はfalseを返します。
    - トークンが正当なものではない。
    - トークンを生成したときとはパラメータ値が違う。
    - トークンがすでに無効化されている。
    intra-mart Accel Platfrom 2014 Summer(version 8.0.8)以降、
    以下のシステムプロパティの値をtrueに設定することで、必ずtrueを返却します。（開発用です。運用中は利用しないでください。）
    jp.co.intra_mart.foundation.secure_token.SecureTokenManager.ignore_token_check
    パラメータ:
    
    token - トークン
    
    parameter - パラメータ
    
    戻り値:
    
    トークンの正当性を返却します。
    
    例外:
    
    SecureTokenException - トークン生成中に例外が発生した場合にスローされます。
    
    導入されたバージョン:
    
    8.0.11

クラス SecureTokenManager

SecureTokenとは？

サンプル

JSP

トークンフィルタの設定ファイル

フィールドのサマリー

コンストラクタのサマリー

メソッドのサマリー

クラスから継承されたメソッド java.lang.Object

フィールドの詳細

SESSION_ATTRIBUTE_NAME

REQUEST_PARAMETER_NAME

コンストラクタの詳細

SecureTokenManager

メソッドの詳細

createToken

createToken

verify

verify

verify