SpringSecurity解决路径中含有%2F的问题

2024-03-17 12:44
文章标签 java 问题 路径 spring 解决 springsecurity 2f 含有

本文主要是介绍SpringSecurity解决路径中含有%2F的问题，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

近期有个需求要求Controller可以处理URL中有%2F的请求，比如：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path;}
}

请求URL可以是：http://localhost:8080/hello/name/test%2F123

原始的Spring也是不支持路径中有%2F的情况的，直接请求页面会直接报错，但是这种情况已经能搜到很多处理方式了，我亲测最简单且有效的方法就是在Spring启动类中，增加如下语句允许SLASH出现。

public static void main( String[] args ) {System.setProperty("org.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH", "true");SpringApplication.run(App.class, args);
}

解决Spring的问题之后，如果路径中还是有%2F，访问URL会出现如下的错误：

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.Sun Mar 17 01:19:43 CST 2024
There was an unexpected error (type=Internal Server Error, status=500).
The requestURI cannot contain encoded slash. Got /xxx/xxx/test%2F123

这个错误就是Spring Security抛出的，如果观察控制台，也可以看到响应的堆栈打印：

org.springframework.security.web.firewall.RequestRejectedException: The requestURI cannot contain encoded slash. Got /security/name/test%2F123at org.springframework.security.web.firewall.DefaultHttpFirewall.getFirewalledRequest(DefaultHttpFirewall.java:62) ~[spring-security-web-4.2.9.R

因此正式进入Spring Security的处理环节，这里我给出了三种方案，分别应对安全程度从低到高的场景，当然DIY程度也是从小到大，如果是自己的项目，只是单纯的想消除这个讨厌的requestURI cannot contain encoded slash，建议使用方式一就行。

方式一：全局处理%2F存在

这个方案其实有博主已经提到了：https://www.jb51.net/program/290154s0s.htm

但是我按这个操作之后发现还是不生效，后来还是在Stack Overflow上才发现这里只是新建了Bean，没有注入，那当然毛用没有了。。

在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

在继承了WebSecurityConfigurerAdapter的WebSecurityConfig（没有就新建一个），写入如下代码：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {DefaultHttpFirewall defaultHttpFirewall = new DefaultHttpFirewall();defaultHttpFirewall.setAllowUrlEncodedSlash(true);return defaultHttpFirewall;}public void configure(WebSecurity web) throws Exception {// 这里一定要注册，不然不会生效的web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

这样操作完，所有的Controller就都可以处理Path中有%2F的请求了。

方式二：白名单处理%2F，其余请求走DefaultHttpFirewall

全局都允许路径有%2F是很不安全的，因此在生产环境中，这种路径中含有%2F的URL一定是可枚举，可使用白名单处理的，只有命中白名单的URL才允许%2F出现，其他的URL则仍然使用DefaultHttpFirewall去判断URL是否能够访问。

首先在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

自己继承DefaultHttpFirewall实现一个防火墙重写getFirewalledRequest方法，大概翻一下代码就可以看到，原本的getFirewallRequest是根据allowUrlEncodedSlash变量判断URL中是否允许%2F的，而这个变量可以通过setAllowUrlEncodedSlash进行设置，因此只需要对在白名单的URL临时允许%2F。

import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;import javax.servlet.http.HttpServletRequest;public class CustomHttpFirewall extends DefaultHttpFirewall {public FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {// 如果在允许urlEncodeSlash的白名单内if (isInSlashWhiteList(request.getRequestURI())) {// 临时允许slashsetAllowUrlEncodedSlash(true);}FirewalledRequest res = super.getFirewalledRequest(request);// 关闭允许，这里如果不关闭，相当于全局开启了允许slashsetAllowUrlEncodedSlash(false);return res;}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

但是需要注意的是，在Spring中，Bean是单例，因此在某个请求中设置allowUrlEncodedSlash，可能会影响另一个请求，在并发度不高的服务中，这种现象应该不会出现，但是如果并发度很高，就要考虑这种相互影响的因素，这时也可以考虑使用方式三的思路去解决。

方式三：白名单处理%2F，其余请求走StrictHttpFirewall

如果项目中强制要求使用StrictHttpFirewall（StrictHttpFirewall只允许URL中有ASCII字符出现，因此方式二不再适用），或者是考虑到方式二中并发度的问题，就可以考虑用本方式来解决问题，这里的思路整体上是捕捉白名单中的请求，将%2F替换为一个不会出现在URL中的字符串，比如@temp@，然后在Controller再把这个字符串替换回去。

首先需要实现一个FirewalledRequest的包装类，该包装类能够改写原来的URI，以实现修改HttpServletRequest的修改的requestURI的目的：

import org.springframework.security.web.firewall.FirewalledRequest;import javax.servlet.http.HttpServletRequest;public class CustomHttpServletRequestWrapper extends FirewalledRequest {private String newUri;private String originUri;public CustomHttpServletRequestWrapper(HttpServletRequest request, String newUri) {super(request);originUri = request.getRequestURI();this.newUri = newUri;}@Overridepublic void reset() {}@Overridepublic StringBuffer getRequestURL() {return new StringBuffer(super.getRequestURL().toString().replace(originUri, newUri));}@Overridepublic String getRequestURI() {// 返回新的URIreturn newUri;}@Overridepublic String getServletPath() {// 替换原本的URI为新的URI// 这里把%2F换为/是因为getServletPath取出的有可能已经是把%2F转换为/的URI了return super.getServletPath().replace(originUri, newUri).replace(originUri.replace("%2F", "/"), newUri);}@Overridepublic String getPathInfo() {// 返回新的URIString pathInfo = super.getPathInfo();return (pathInfo != null) ? pathInfo.replace(originUri, newUri): null;}
}

然后继承StrictHttpFirewall重写getFirewalledRequest方法，在这里实现对%2F的替换。

import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;
import org.springframework.security.web.firewall.StrictHttpFirewall;import javax.servlet.http.HttpServletRequest;public class CustomStrictHttpFirewall extends StrictHttpFirewall {public static final String replaceSlash = "@temp@";@Overridepublic FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {if (isInSlashWhiteList(request.getRequestURI())) {// 在白名单中，替换%2Freturn new CustomHttpServletRequestWrapper(request, request.getRequestURI().replace("%2F", replaceSlash));}// 否则使用严格模式的生成方法return super.getFirewalledRequest(request);}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

最后，注册这个自定义的StrictHttpFirewall

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;
import org.springframework.security.web.firewall.StrictHttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {return new CustomStrictHttpFirewall();}public void configure(WebSecurity web) throws Exception {web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

在实际的Controller中，把这个特殊字符串再转换回去就行了：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path.replace(CustomStrictHttpFirewall.replaceSlash, "/");}
}

这篇关于SpringSecurity解决路径中含有%2F的问题的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/818994。

相关文章

Java编译生成多个.class文件的原理和作用

Java编译生成多个.class文件的原理和作用

《Java编译生成多个.class文件的原理和作用》作为一名经验丰富的开发者,在Java项目中执行编译后,可能会发现一个.java源文件有时会产生多个.class文件,从技术实现层面详细剖析这一现象... 目录一、内部类机制与.class文件生成成员内部类（常规内部类）局部内部类（方法内部类）匿名内部类二、
阅读更多...
SpringBoot实现数据库读写分离的3种方法小结

SpringBoot实现数据库读写分离的3种方法小结

《SpringBoot实现数据库读写分离的3种方法小结》为了提高系统的读写性能和可用性,读写分离是一种经典的数据库架构模式,在SpringBoot应用中,有多种方式可以实现数据库读写分离,本文将介绍三... 目录一、数据库读写分离概述二、方案一：基于AbstractRoutingDataSource实现动态
阅读更多...
Springboot @Autowired和@Resource的区别解析

Springboot @Autowired和@Resource的区别解析

《Springboot@Autowired和@Resource的区别解析》@Resource是JDK提供的注解,只是Spring在实现上提供了这个注解的功能支持,本文给大家介绍Springboot@... 目录【一】定义【1】@Autowired【2】@Resource【二】区别【1】包含的属性不同【2】@
阅读更多...
springboot循环依赖问题案例代码及解决办法

springboot循环依赖问题案例代码及解决办法

《springboot循环依赖问题案例代码及解决办法》在SpringBoot中,如果两个或多个Bean之间存在循环依赖（即BeanA依赖BeanB,而BeanB又依赖BeanA）,会导致Spring的... 目录1. 什么是循环依赖？2. 循环依赖的场景案例3. 解决循环依赖的常见方法方法 1：使用 @La
阅读更多...
Java枚举类实现Key-Value映射的多种实现方式

Java枚举类实现Key-Value映射的多种实现方式

《Java枚举类实现Key-Value映射的多种实现方式》在Java开发中,枚举(Enum)是一种特殊的类,本文将详细介绍Java枚举类实现key-value映射的多种方式,有需要的小伙伴可以根据需要... 目录前言一、基础实现方式1.1 为枚举添加属性和构造方法二、http://www.cppcns.co
阅读更多...
Elasticsearch 在 Java 中的使用教程

Elasticsearch 在 Java 中的使用教程

《Elasticsearch在Java中的使用教程》Elasticsearch是一个分布式搜索和分析引擎,基于ApacheLucene构建,能够实现实时数据的存储、搜索、和分析,它广泛应用于全文... 目录1. Elasticsearch 简介2. 环境准备2.1 安装 Elasticsearch2.2 J
阅读更多...
Java中的String.valueOf()和toString()方法区别小结

Java中的String.valueOf()和toString()方法区别小结

《Java中的String.valueOf()和toString()方法区别小结》字符串操作是开发者日常编程任务中不可或缺的一部分,转换为字符串是一种常见需求,其中最常见的就是String.value... 目录String.valueOf()方法方法定义方法实现使用示例使用场景toString()方法方法
阅读更多...
Java中List的contains()方法的使用小结

Java中List的contains()方法的使用小结

《Java中List的contains()方法的使用小结》List的contains()方法用于检查列表中是否包含指定的元素,借助equals()方法进行判断,下面就来介绍Java中List的c... 目录详细展开1. 方法签名2. 工作原理3. 使用示例4. 注意事项总结结论：List 的 contain
阅读更多...
Java实现文件图片的预览和下载功能

Java实现文件图片的预览和下载功能

《Java实现文件图片的预览和下载功能》这篇文章主要为大家详细介绍了如何使用Java实现文件图片的预览和下载功能,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... Java实现文件（图片）的预览和下载 @ApiOperation("访问文件") @GetMapping("
阅读更多...
Spring Boot + MyBatis Plus 高效开发实战从入门到进阶优化(推荐)

Spring Boot + MyBatis Plus 高效开发实战从入门到进阶优化(推荐)

《SpringBoot+MyBatisPlus高效开发实战从入门到进阶优化(推荐)》本文将详细介绍SpringBoot+MyBatisPlus的完整开发流程,并深入剖析分页查询、批量操作、动... 目录Spring Boot + MyBATis Plus 高效开发实战：从入门到进阶优化1. MyBatis
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2