Mojarra服务器存储ViewState加密及客户端标识技术咨询

问题1：为何采用两个冒号分隔的随机数而非一个？这两个随机数分别代表什么？autocomplete="off"的含义是什么？ #

• 冒号分隔的两个值是Mojarra server模式下的标准ViewState标识格式：
  • 第一个值是视图ID的哈希值，用来快速定位对应的视图模板，服务器通过它识别当前请求对应的是哪个页面视图；
  • 第二个值是会话内的状态存储键，服务器端会在用户会话中用这个键关联实际的视图状态数据（比如组件状态、请求参数快照等）。
• autocomplete="off"是浏览器指令，要求浏览器不要自动填充这个隐藏输入框。因为ViewState是会话绑定或一次性的，自动填充旧的ViewState会导致请求失败（比如状态已过期或不匹配），这个配置是为了避免这类冲突。

问题2：这些服务器生成的随机数是否映射到服务器存储的实际ViewState？该理解是否正确？ #

完全正确。当javax.faces.STATE_SAVING_METHOD设为server时，客户端仅存储这个标识字符串，实际的视图状态数据（包含组件树、用户输入的临时状态等）会被序列化后存储在服务器端（默认存在用户会话中）。用户提交表单时，服务器通过这个标识找到对应的状态数据，以此恢复视图并处理请求。

问题3：这些随机数是否已处于加密状态？是否需要对其加密以避免数据泄露及其他应用漏洞？ #

这些随机数本身未加密，只是随机生成的标识符，没有包含敏感数据，但存在被枚举或猜测的风险（比如攻击者通过遍历可能的标识来尝试获取有效视图状态）。
是否需要加密取决于你的安全需求：

• 如果应用处于低风险环境，默认的随机标识已经足够安全，因为标识长度足够且绑定用户会话，跨会话无法复用；
• 如果是高安全要求的应用，加密标识可以进一步防止枚举攻击，避免攻击者通过标识推断服务器端的存储逻辑。

问题4：当ViewState存储在服务器时，如何对这些随机数进行加密？ #

Mojarra提供了内置的加密配置，你可以在web.xml中添加以下上下文参数来启用ViewState标识的加密和签名：

<!-- 启用ViewState加密 -->
<context-param>
    <param-name>com.sun.faces.encryptViewState</param-name>
    <param-value>true</param-value>
</context-param>
<!-- 设置加密密钥（建议使用32位以上的随机字符串） -->
<context-param>
    <param-name>com.sun.faces.encryptionKey</param-name>
    <param-value>your_32bit_random_encryption_key_here</param-value>
</context-param>
<!-- 设置加密算法（默认AES） -->
<context-param>
    <param-name>com.sun.faces.encryptionAlgorithm</param-name>
    <param-value>AES/CBC/PKCS5Padding</param-value>
</context-param>
<!-- 设置签名密钥，防止标识被篡改 -->
<context-param>
    <param-name>com.sun.faces.signatureKey</param-name>
    <param-value>your_32bit_random_signature_key_here</param-value>
</context-param>

配置后，服务器生成的ViewState标识会被加密并添加签名，客户端只能看到加密后的字符串，无法直接解析出原始的标识内容。

问题5：能否避免该隐藏元素被注入到页面源码中？ #

大部分情况下不能，因为JSF的POST请求依赖ViewState来恢复服务器端的视图状态，没有这个标识，服务器无法处理POST请求。但有两种例外场景：

1. 无状态视图：在JSF 2.2及以上版本中，可以在页面的<f:view>标签中添加stateless="true"属性，比如：

   <f:view stateless="true">
       <!-- 页面内容 -->
   </f:view>
   

   这种视图不会生成ViewState隐藏元素，但代价是视图无法保存任何状态（比如@ViewScoped的bean会失效，组件状态不会被保留），仅适合纯展示或不需要状态回传的页面。
2. 仅使用GET请求：如果页面所有交互都使用GET请求（不提交表单），JSF不会生成ViewState隐藏元素，但GET请求不适合处理有状态的操作（比如提交表单数据），且存在CSRF风险，不建议用于敏感操作。

内容的提问来源于stack exchange，提问作者Vinod Rawat