SpringSecurity解决路径中含有%2F的问题

2024-03-17 12:44
文章标签 java 问题 路径 spring 解决 springsecurity 2f 含有

本文主要是介绍SpringSecurity解决路径中含有%2F的问题，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

近期有个需求要求Controller可以处理URL中有%2F的请求，比如：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path;}
}

请求URL可以是：http://localhost:8080/hello/name/test%2F123

原始的Spring也是不支持路径中有%2F的情况的，直接请求页面会直接报错，但是这种情况已经能搜到很多处理方式了，我亲测最简单且有效的方法就是在Spring启动类中，增加如下语句允许SLASH出现。

public static void main( String[] args ) {System.setProperty("org.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH", "true");SpringApplication.run(App.class, args);
}

解决Spring的问题之后，如果路径中还是有%2F，访问URL会出现如下的错误：

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.Sun Mar 17 01:19:43 CST 2024
There was an unexpected error (type=Internal Server Error, status=500).
The requestURI cannot contain encoded slash. Got /xxx/xxx/test%2F123

这个错误就是Spring Security抛出的，如果观察控制台，也可以看到响应的堆栈打印：

org.springframework.security.web.firewall.RequestRejectedException: The requestURI cannot contain encoded slash. Got /security/name/test%2F123at org.springframework.security.web.firewall.DefaultHttpFirewall.getFirewalledRequest(DefaultHttpFirewall.java:62) ~[spring-security-web-4.2.9.R

因此正式进入Spring Security的处理环节，这里我给出了三种方案，分别应对安全程度从低到高的场景，当然DIY程度也是从小到大，如果是自己的项目，只是单纯的想消除这个讨厌的requestURI cannot contain encoded slash，建议使用方式一就行。

方式一：全局处理%2F存在

这个方案其实有博主已经提到了：https://www.jb51.net/program/290154s0s.htm

但是我按这个操作之后发现还是不生效，后来还是在Stack Overflow上才发现这里只是新建了Bean，没有注入，那当然毛用没有了。。

在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

在继承了WebSecurityConfigurerAdapter的WebSecurityConfig（没有就新建一个），写入如下代码：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {DefaultHttpFirewall defaultHttpFirewall = new DefaultHttpFirewall();defaultHttpFirewall.setAllowUrlEncodedSlash(true);return defaultHttpFirewall;}public void configure(WebSecurity web) throws Exception {// 这里一定要注册，不然不会生效的web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

这样操作完，所有的Controller就都可以处理Path中有%2F的请求了。

方式二：白名单处理%2F，其余请求走DefaultHttpFirewall

全局都允许路径有%2F是很不安全的，因此在生产环境中，这种路径中含有%2F的URL一定是可枚举，可使用白名单处理的，只有命中白名单的URL才允许%2F出现，其他的URL则仍然使用DefaultHttpFirewall去判断URL是否能够访问。

首先在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

自己继承DefaultHttpFirewall实现一个防火墙重写getFirewalledRequest方法，大概翻一下代码就可以看到，原本的getFirewallRequest是根据allowUrlEncodedSlash变量判断URL中是否允许%2F的，而这个变量可以通过setAllowUrlEncodedSlash进行设置，因此只需要对在白名单的URL临时允许%2F。

import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;import javax.servlet.http.HttpServletRequest;public class CustomHttpFirewall extends DefaultHttpFirewall {public FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {// 如果在允许urlEncodeSlash的白名单内if (isInSlashWhiteList(request.getRequestURI())) {// 临时允许slashsetAllowUrlEncodedSlash(true);}FirewalledRequest res = super.getFirewalledRequest(request);// 关闭允许，这里如果不关闭，相当于全局开启了允许slashsetAllowUrlEncodedSlash(false);return res;}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

但是需要注意的是，在Spring中，Bean是单例，因此在某个请求中设置allowUrlEncodedSlash，可能会影响另一个请求，在并发度不高的服务中，这种现象应该不会出现，但是如果并发度很高，就要考虑这种相互影响的因素，这时也可以考虑使用方式三的思路去解决。

方式三：白名单处理%2F，其余请求走StrictHttpFirewall

如果项目中强制要求使用StrictHttpFirewall（StrictHttpFirewall只允许URL中有ASCII字符出现，因此方式二不再适用），或者是考虑到方式二中并发度的问题，就可以考虑用本方式来解决问题，这里的思路整体上是捕捉白名单中的请求，将%2F替换为一个不会出现在URL中的字符串，比如@temp@，然后在Controller再把这个字符串替换回去。

首先需要实现一个FirewalledRequest的包装类，该包装类能够改写原来的URI，以实现修改HttpServletRequest的修改的requestURI的目的：

import org.springframework.security.web.firewall.FirewalledRequest;import javax.servlet.http.HttpServletRequest;public class CustomHttpServletRequestWrapper extends FirewalledRequest {private String newUri;private String originUri;public CustomHttpServletRequestWrapper(HttpServletRequest request, String newUri) {super(request);originUri = request.getRequestURI();this.newUri = newUri;}@Overridepublic void reset() {}@Overridepublic StringBuffer getRequestURL() {return new StringBuffer(super.getRequestURL().toString().replace(originUri, newUri));}@Overridepublic String getRequestURI() {// 返回新的URIreturn newUri;}@Overridepublic String getServletPath() {// 替换原本的URI为新的URI// 这里把%2F换为/是因为getServletPath取出的有可能已经是把%2F转换为/的URI了return super.getServletPath().replace(originUri, newUri).replace(originUri.replace("%2F", "/"), newUri);}@Overridepublic String getPathInfo() {// 返回新的URIString pathInfo = super.getPathInfo();return (pathInfo != null) ? pathInfo.replace(originUri, newUri): null;}
}

然后继承StrictHttpFirewall重写getFirewalledRequest方法，在这里实现对%2F的替换。

import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;
import org.springframework.security.web.firewall.StrictHttpFirewall;import javax.servlet.http.HttpServletRequest;public class CustomStrictHttpFirewall extends StrictHttpFirewall {public static final String replaceSlash = "@temp@";@Overridepublic FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {if (isInSlashWhiteList(request.getRequestURI())) {// 在白名单中，替换%2Freturn new CustomHttpServletRequestWrapper(request, request.getRequestURI().replace("%2F", replaceSlash));}// 否则使用严格模式的生成方法return super.getFirewalledRequest(request);}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

最后，注册这个自定义的StrictHttpFirewall

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;
import org.springframework.security.web.firewall.StrictHttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {return new CustomStrictHttpFirewall();}public void configure(WebSecurity web) throws Exception {web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

在实际的Controller中，把这个特殊字符串再转换回去就行了：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path.replace(CustomStrictHttpFirewall.replaceSlash, "/");}
}

这篇关于SpringSecurity解决路径中含有%2F的问题的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/818994。

相关文章

JVM 的类初始化机制

JVM 的类初始化机制

前言 当你在 Java 程序中new对象时，有没有考虑过 JVM 是如何把静态的字节码（byte code）转化为运行时对象的呢，这个问题看似简单，但清楚的同学相信也不会太多，这篇文章首先介绍 JVM 类初始化的机制，然后给出几个易出错的实例来分析，帮助大家更好理解这个知识点。 JVM 将字节码转化为运行时对象分为三个阶段，分别是：loading 、Linking、initialization
阅读更多...
Spring Security 基于表达式的权限控制

Spring Security 基于表达式的权限控制

前言 spring security 3.0已经可以使用spring el表达式来控制授权，允许在表达式中使用复杂的布尔逻辑来控制访问的权限。 常见的表达式 Spring Security可用表达式对象的基类是SecurityExpressionRoot。 表达式描述hasRole([role])用户拥有制定的角色时返回true （Spring security默认会带有ROLE_前缀）,去
阅读更多...
浅析Spring Security认证过程

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程，特意画了如下的类图，包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口，接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti
阅读更多...
Spring Security--Architecture Overview

Spring Security--Architecture Overview

1 核心组件 这一节主要介绍一些在Spring Security中常见且核心的Java类，它们之间的依赖，构建起了整个框架。想要理解整个架构，最起码得对这些类眼熟。 1.1 SecurityContextHolder SecurityContextHolder用于存储安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权限…这些都被保
阅读更多...
Spring Security基于数据库验证流程详解

Spring Security基于数据库验证流程详解

Spring Security 校验流程图 相关解释说明（认真看哦） AbstractAuthenticationProcessingFilter 抽象类 /*** 调用 #requiresAuthentication(HttpServletRequest, HttpServletResponse) 决定是否需要进行验证操作。* 如果需要验证，则会调用 #attemptAuthentica
阅读更多...
Spring Security 从入门到进阶系列教程

Spring Security 从入门到进阶系列教程

Spring Security 入门系列 《保护 Web 应用的安全》 《Spring-Security-入门（一）：登录与退出》 《Spring-Security-入门（二）：基于数据库验证》 《Spring-Security-入门（三）：密码加密》 《Spring-Security-入门（四）：自定义-Filter》 《Spring-Security-入门（五）：在 Sprin
阅读更多...
Java架构师知识体认识

Java架构师知识体认识

源码分析 常用设计模式 Proxy代理模式Factory工厂模式Singleton单例模式Delegate委派模式Strategy策略模式Prototype原型模式Template模板模式 Spring5 beans 接口实例化代理Bean操作 Context Ioc容器设计原理及高级特性Aop设计原理Factorybean与Beanfactory Transaction 声明式事物
阅读更多...
Java进阶13讲__第12讲_1/2

Java进阶13讲__第12讲_1/2

多线程、线程池 1.  线程概念 1.1  什么是线程 1.2  线程的好处 2.   创建线程的三种方式 注意事项 2.1  继承Thread类 2.1.1 认识  2.1.2  编码实现  package cn.hdc.oop10.Thread;import org.slf4j.Logger;import org.slf4j.LoggerFactory
阅读更多...
好题——hdu2522（小数问题：求1/n的第一个循环节）

好题——hdu2522（小数问题：求1/n的第一个循环节）

好喜欢这题，第一次做小数问题，一开始真心没思路，然后参考了网上的一些资料。 知识点***********************************无限不循环小数即无理数，不能写作两整数之比*****************************（一开始没想到，小学没学好） 此题1/n肯定是一个有限循环小数，了解这些后就能做此题了。 按照除法的机制，用一个函数表示出来就可以了，代码如下
阅读更多...
hdu1043（八数码问题，广搜 + hash（实现状态压缩） ）

hdu1043（八数码问题，广搜 + hash（实现状态压缩） ）

利用康拓展开将一个排列映射成一个自然数，然后就变成了普通的广搜题。 #include<iostream>#include<algorithm>#include<string>#include<stack>#include<queue>#include<map>#include<stdio.h>#include<stdlib.h>#include<ctype.h>#inclu
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2