ControlServlet è il router delle richieste di Apache OFBiz: un servlet che riceve il traffico HTTP e lo inoltra alla corretta azione dell'applicazione o mappatura del controller. Si trova vicino al confine tra il server web e la logica di business, quindi spesso fa parte della prima decisione di fiducia che una richiesta deve superare.
In termini di sicurezza, questo rende ControlServlet importante. Se le regole di routing, i controlli di autenticazione o la logica di autorizzazione sono incoerenti, un attaccante può raggiungere azioni sensibili prima che venga stabilita una sessione valida. Questo può trasformare una normale richiesta web in accesso pre-autenticazione a funzioni amministrative o, nei casi più gravi, in esecuzione di codice lato server. I difensori dovrebbero verificare quali URL accetta il servlet, come gestisce i percorsi inoltrati o alternativi e se ogni azione mappata è protetta da un controllo di accesso esplicito. Le estensioni personalizzate e i controlli SSO o basati su token dovrebbero essere convalidati separatamente, non considerati sicuri solo perché si trovano dietro la pagina di accesso.