package com.fr.stable.fun;

import com.fr.stable.fun.mark.Mutable;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

/**
 * 根据sessionid判断当前用户是否有权限访问该模板或者entry.
 * 默认权限检测是在创建session之前, 如果用某种手段得到了sessionid, 那么就可以访问当前sessionid内容.
 * 只检测cpt和表单, 如果需要检测BI, 图表等内容, 就再加provider
 *
 * Created by Administrator on 2016/6/24/0024.
 */
public interface SessionPrivilegeFilterProvider extends Mutable{

    String XML_TAG = "SessionPrivilegeFilterProvider";

    int CURRENT_LEVEL = 1;

    /**
     * 给res那边加上更严格的响应头
     * 华为那边AppScan扫描要求必须同域名frame, 同域名资源文件请求等等.
     *
     * res.setHeader("X-Content-Type-Options", "nosniff");
     * res.setHeader("X-XSS-Protection", "1");
     * res.setHeader("X-Frame-Options", "SAMEORIGIN");
     * res.setHeader("Content-Security-Policy", "img-src 'self' data;");
     *
     * @return
     */
    void addSecurityResponseHeader(HttpServletResponse res);

    /**
     * 从req中获取需要的参数, 并判断是否拥有当前sessionid的访问权限
     *
     * @param req http请求
     * @param res http响应
     */
    void filterSession(HttpServletRequest req, HttpServletResponse res);

    /**
     * 对sessionid进行MD5加密, 防止暴力破解轮询
     *
     * @param sessionID 原sessionid
     * @return 加密后的sessionid
     */
    String encodeSessionID(String sessionID);

    /**
     * 对cookie中的数据进行加密
     *
     * @param cookieStr cookie中的值
     * @return 加密后字符串
     */
    String encodeCookie(String cookieStr);

    /**
     * 对cookie中的值进行解密
     *
     * @param encodeStr 加密后字符串
     * @return 解密后字符串
     */
    String decodeCookie(String encodeStr);
}

<extra-core>
        <SessionPrivilegeFilterProvider class="your class name"/>
</extra-core>