Ne pas journaliser les paramètres des requêtes GET
Bonjour,
Je travaille en ce moment sur une application WEB MVC, que j'appellerai application A par la suite. On m'a demandé de permettre à une autre application, B, d'accéder à des écrans de A.
Problème : B ne peut faire que des requêtes GET dont seule l'URL peut être modifiée. Hors, A manipule des données confidentielles, accéder à ses écrans nécessite une authentification via un formulaire POST. J'ai donc modifié l'authentification de A pour qu'elle accepte des requêtes GET, et catastrophe! Les mots de passe apparaissent en clair dans les logs de Spring.
Pour être plus clair, j'ai voulu permettre l'authentification via des requêtes de la forme
Code:
http://serveur.com/accesJardin?login=BugFactory&password=CestUnSecret
Comme Spring enregistre les URL dans son journal, on peut y lire
Code:
http://serveur.com/accesJardin?login=BugFactory&password=CestUnSecret
Idéalement, je voudrais pouvoir configurer Spring de façon à ce que ce paramètre, pour cette adresse précise, n'apparaisse pas. Au pire, désactiver entièrement la journalisation des accès éviterai ce problème, mais c'est un outil de débogage précieux. Je pourrai désactiver la journalisation des requêtes, puis ajouter un filtre que je pourrais programmer moi même pour journaliser les requêtes sauf celles-ci.
Est-il possible de configurer Spring de façon à ce que les requêtes, ou au moins leurs paramètres, ne soient pas journalisées? Si oui comment?
Notes :
- Je n'ai pas non plus le droit d'utiliser HTTP basic.
- Je peux faire ce que je veux avec A, mais je ne peux pas toucher à B.
- Je sais qu'il vaut mieux ne pas utiliser les paramètres GET pour des données cnfidentielles, mais je n'ai pas le choix.
- Je vais envoyer un message similaire sur le forum Tomcat, pour résoudre le même problème dans les journaux de Tomcat. Sur ce sujet, il s'agit de Spring MVC.
Merci d'avance.
EDIT: remplacé [url] par [CODE] pour que les adresses en exemple ne soient plus tronquées.
