关于Normalizer.normalize()方法的用途

2024-05-16 13:38
文章标签 方法 normalize normalizer

本文主要是介绍关于Normalizer.normalize()方法的用途,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

在工作中,经常在看到Normalizer.normalize()方法的身影,遂了解了下这个方法的作用。

现假设系统对外部输入作校验,如果发现输入中包含"<"或者">"字符,就判定此输入不合法,无法通过校验。但如果输入的是全角形式的字符,判断就会稍微变得麻烦,而且并不方便,一旦有所遗漏,出错之后排查可能会花费较多的时间。

// 包含全角尖括号
String sbcCase = "\uFe64" + ";reboot;" + "\uFe65";
// 包含半角尖括号
String dbcCase = "\u003C" + ";reboot;" + "\u003E";
System.out.println("包含全角尖括号的输入字符串:" + sbcCase + "\n包含半角尖括号的输入字符串:" + dbcCase);
// 虽然可以使用unicode来校验,但是很明显这种方式比较繁琐,并不方便
System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("<"));
System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("\uFe64"));

运行结果如下:

包含全角尖括号的输入字符串:﹤;reboot;﹥
包含半角尖括号的输入字符串:<;reboot;>
字符串"﹤;reboot;﹥"中是否包含全角尖括号:false
字符串"﹤;reboot;﹥"中是否包含全角尖括号:true

此时,可以考虑在校验之前使用normalize方法对外部输入字符串做归一化/标准化,确保具有相同意义的字符串具有统一的二进制描述,推荐使用Normalizer.Form.NFKC参数进行归一化/标准化。

以下是一个以包含尖括号的外部输入字符串为例的简单例子:

import java.text.Normalizer;
import java.util.regex.Matcher;
import java.util.regex.Pattern;/*** 以尖括号未为例,有全角(<>)和半角(<>)之分,但是其语义是一样的* 如果未对输入中的此类字符串作归一化处理,可能会使得绕过系统输入限制,对系统造成破坏*/
public class NormalizationTest {public static void main(String[] args) {// 包含全角尖括号String sbcCase = "\uFe64" + ";reboot;" + "\uFe65";// 包含半角尖括号String dbcCase = "\u003C" + ";reboot;" + "\u003E";System.out.println("包含全角尖括号的输入字符串:" + sbcCase + "\n包含半角尖括号的输入字符串:" + dbcCase);// 普通方法无法判断是否包含全角尖括号System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("<"));// 归一化前,无法正确区分全角和半角尖括号,出错校验遗漏,系统受到破坏,服务被重启System.out.println("-----------------------------");System.out.println("归一化前:" + sbcCase);checkInputString(sbcCase);// 归一化后,就可正确校验,系统免受破坏System.out.println("-----------------------------");String normalized = Normalizer.normalize(sbcCase, Normalizer.Form.NFKC);System.out.println("归一化后:" + normalized);checkInputString(normalized);}private static void checkInputString(String str) {Pattern pattern = Pattern.compile("<\\s*;reboot\\s*;>");Matcher matcher = pattern.matcher(str);if (matcher.find()) {System.out.println("命令注入失败");return;}System.out.println("命令注入成功,服务器即将重启");}
}

运行结果如下:

sdafsdfas

当然,本文只是举个例子,表明对外部输入字符串进行归一化后再校验可以避免一些潜在的坑点,实际操作时完全可以只判断黑名单,只要输入中包含了"reboot"这种注入命令就无法通过校验。不过,就业务而言,外部输入中的错误应该尽早拦截,早发现早治疗,越到后面捅出的篓子可能也越大。就这点而言,使用归一化操作还是有一定必要的。

但normalize方法也存在缺点,输入字符串太长的话转换效率会比较低,所以,最好还是结合实际按需使用。

写到最后,突然想起了谷歌浏览器,在输网址时如果将点号(".")误输入成中文的句号("。"),但是点击回车后这些中文句号就会变成正常的英文点号,相信这里面也有类似归一化的操作吧。

   -->     


这篇关于关于Normalizer.normalize()方法的用途的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/995068

相关文章

Conda与Python venv虚拟环境的区别与使用方法详解

《Conda与Pythonvenv虚拟环境的区别与使用方法详解》随着Python社区的成长,虚拟环境的概念和技术也在不断发展,:本文主要介绍Conda与Pythonvenv虚拟环境的区别与使用... 目录前言一、Conda 与 python venv 的核心区别1. Conda 的特点2. Python v

Spring Boot中WebSocket常用使用方法详解

《SpringBoot中WebSocket常用使用方法详解》本文从WebSocket的基础概念出发,详细介绍了SpringBoot集成WebSocket的步骤,并重点讲解了常用的使用方法,包括简单消... 目录一、WebSocket基础概念1.1 什么是WebSocket1.2 WebSocket与HTTP

SQL Server配置管理器无法打开的四种解决方法

《SQLServer配置管理器无法打开的四种解决方法》本文总结了SQLServer配置管理器无法打开的四种解决方法,文中通过图文示例介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的... 目录方法一:桌面图标进入方法二:运行窗口进入检查版本号对照表php方法三:查找文件路径方法四:检查 S

MyBatis-Plus 中 nested() 与 and() 方法详解(最佳实践场景)

《MyBatis-Plus中nested()与and()方法详解(最佳实践场景)》在MyBatis-Plus的条件构造器中,nested()和and()都是用于构建复杂查询条件的关键方法,但... 目录MyBATis-Plus 中nested()与and()方法详解一、核心区别对比二、方法详解1.and()

golang中reflect包的常用方法

《golang中reflect包的常用方法》Go反射reflect包提供类型和值方法,用于获取类型信息、访问字段、调用方法等,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值... 目录reflect包方法总结类型 (Type) 方法值 (Value) 方法reflect包方法总结

C# 比较两个list 之间元素差异的常用方法

《C#比较两个list之间元素差异的常用方法》:本文主要介绍C#比较两个list之间元素差异,本文通过实例代码给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录1. 使用Except方法2. 使用Except的逆操作3. 使用LINQ的Join,GroupJoin

MySQL查询JSON数组字段包含特定字符串的方法

《MySQL查询JSON数组字段包含特定字符串的方法》在MySQL数据库中,当某个字段存储的是JSON数组,需要查询数组中包含特定字符串的记录时传统的LIKE语句无法直接使用,下面小编就为大家介绍两种... 目录问题背景解决方案对比1. 精确匹配方案(推荐)2. 模糊匹配方案参数化查询示例使用场景建议性能优

关于集合与数组转换实现方法

《关于集合与数组转换实现方法》:本文主要介绍关于集合与数组转换实现方法,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录1、Arrays.asList()1.1、方法作用1.2、内部实现1.3、修改元素的影响1.4、注意事项2、list.toArray()2.1、方

Python中注释使用方法举例详解

《Python中注释使用方法举例详解》在Python编程语言中注释是必不可少的一部分,它有助于提高代码的可读性和维护性,:本文主要介绍Python中注释使用方法的相关资料,需要的朋友可以参考下... 目录一、前言二、什么是注释?示例:三、单行注释语法:以 China编程# 开头,后面的内容为注释内容示例:示例:四

一文详解Git中分支本地和远程删除的方法

《一文详解Git中分支本地和远程删除的方法》在使用Git进行版本控制的过程中,我们会创建多个分支来进行不同功能的开发,这就容易涉及到如何正确地删除本地分支和远程分支,下面我们就来看看相关的实现方法吧... 目录技术背景实现步骤删除本地分支删除远程www.chinasem.cn分支同步删除信息到其他机器示例步骤