リモートホストの許可設定について

Question

お世話になります。
現在Linuxサーバの運用を行っており、その中でcrontabでタスクの設定を行い定期的に動作をさせています。
設定ではcurlでStruts2 + Tomcatで構築したwebサーバのURLを叩くということを行っています。

00 9 * * * curl "http://localhost/hogehoge/test.action?action=hoge"

今までは上記のようにlocalhostでリクエストを行い、Java側で以下のように
ローカルからのアクセスであることを確認していました。

String remoteHost = ServletActionContext.getRequest().getRemoteHost();
if(remoteHost == null || remoteHost.isEmpty()){
  return;
} else {
  if(!remoteHost.equals("127.0.0.1") && !remoteHost.equals("0:0:0:0:0:0:0:1")){
    return;
  }
}
//ローカルホストからのアクセスのため処理実行・・・

この度、サーバの設定変更に伴い、

00 9 * * * curl "http://127.0.0.1:8080/hogehoge/test.action?action=hoge"

のように変更したいのですが、なにか問題がありますでしょうか。
（localhostの指定をやめたい）
リモートホストの偽装等で外部からこのリクエストを許可してしまう恐れがあるのではと思い
質問させていただきました。

よろしくお願い致します。

Answer 1

localhost = 127.0.0.1 はhostsファイルによる設定なのだと思いますので、Struts2側＝サーブレット側からは特に問題はありません。

なお、リモートのIPアドレス取得と決まっているなら、getRemoteAddr() の方が良いでしょうか。

Comments

[Begi]

回答いただきありがとうございます。
外部からリモートホストを127.0.0.1で偽装された場合でも問題ありませんでしょうか。

[A-pZ]

そもそもこの判定方法だと防ぎようはありませんし、アプリケーションで何とかするならアクセスコントロールの機能を設けるか、ないしはファイアウォールの設定でしょう。

[Begi]

そうですよね。もともとあまり良くない方法とは思っていました。
タスク実行方法の改善も視野に入れたいと思います。
ベストアンサーにさせていただきました。誠にありがとうございました。