关于Normalizer.normalize()方法的用途

2024-05-16 13:38
文章标签 方法 normalize normalizer

本文主要是介绍关于Normalizer.normalize()方法的用途,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

在工作中,经常在看到Normalizer.normalize()方法的身影,遂了解了下这个方法的作用。

现假设系统对外部输入作校验,如果发现输入中包含"<"或者">"字符,就判定此输入不合法,无法通过校验。但如果输入的是全角形式的字符,判断就会稍微变得麻烦,而且并不方便,一旦有所遗漏,出错之后排查可能会花费较多的时间。

// 包含全角尖括号
String sbcCase = "\uFe64" + ";reboot;" + "\uFe65";
// 包含半角尖括号
String dbcCase = "\u003C" + ";reboot;" + "\u003E";
System.out.println("包含全角尖括号的输入字符串:" + sbcCase + "\n包含半角尖括号的输入字符串:" + dbcCase);
// 虽然可以使用unicode来校验,但是很明显这种方式比较繁琐,并不方便
System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("<"));
System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("\uFe64"));

运行结果如下:

包含全角尖括号的输入字符串:﹤;reboot;﹥
包含半角尖括号的输入字符串:<;reboot;>
字符串"﹤;reboot;﹥"中是否包含全角尖括号:false
字符串"﹤;reboot;﹥"中是否包含全角尖括号:true

此时,可以考虑在校验之前使用normalize方法对外部输入字符串做归一化/标准化,确保具有相同意义的字符串具有统一的二进制描述,推荐使用Normalizer.Form.NFKC参数进行归一化/标准化。

以下是一个以包含尖括号的外部输入字符串为例的简单例子:

import java.text.Normalizer;
import java.util.regex.Matcher;
import java.util.regex.Pattern;/*** 以尖括号未为例,有全角(<>)和半角(<>)之分,但是其语义是一样的* 如果未对输入中的此类字符串作归一化处理,可能会使得绕过系统输入限制,对系统造成破坏*/
public class NormalizationTest {public static void main(String[] args) {// 包含全角尖括号String sbcCase = "\uFe64" + ";reboot;" + "\uFe65";// 包含半角尖括号String dbcCase = "\u003C" + ";reboot;" + "\u003E";System.out.println("包含全角尖括号的输入字符串:" + sbcCase + "\n包含半角尖括号的输入字符串:" + dbcCase);// 普通方法无法判断是否包含全角尖括号System.out.println("字符串\"" + sbcCase + "\"中是否包含全角尖括号:" + sbcCase.contains("<"));// 归一化前,无法正确区分全角和半角尖括号,出错校验遗漏,系统受到破坏,服务被重启System.out.println("-----------------------------");System.out.println("归一化前:" + sbcCase);checkInputString(sbcCase);// 归一化后,就可正确校验,系统免受破坏System.out.println("-----------------------------");String normalized = Normalizer.normalize(sbcCase, Normalizer.Form.NFKC);System.out.println("归一化后:" + normalized);checkInputString(normalized);}private static void checkInputString(String str) {Pattern pattern = Pattern.compile("<\\s*;reboot\\s*;>");Matcher matcher = pattern.matcher(str);if (matcher.find()) {System.out.println("命令注入失败");return;}System.out.println("命令注入成功,服务器即将重启");}
}

运行结果如下:

sdafsdfas

当然,本文只是举个例子,表明对外部输入字符串进行归一化后再校验可以避免一些潜在的坑点,实际操作时完全可以只判断黑名单,只要输入中包含了"reboot"这种注入命令就无法通过校验。不过,就业务而言,外部输入中的错误应该尽早拦截,早发现早治疗,越到后面捅出的篓子可能也越大。就这点而言,使用归一化操作还是有一定必要的。

但normalize方法也存在缺点,输入字符串太长的话转换效率会比较低,所以,最好还是结合实际按需使用。

写到最后,突然想起了谷歌浏览器,在输网址时如果将点号(".")误输入成中文的句号("。"),但是点击回车后这些中文句号就会变成正常的英文点号,相信这里面也有类似归一化的操作吧。

   -->     


这篇关于关于Normalizer.normalize()方法的用途的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/995068

相关文章

postgresql使用UUID函数的方法

《postgresql使用UUID函数的方法》本文给大家介绍postgresql使用UUID函数的方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录PostgreSQL有两种生成uuid的方法。可以先通过sql查看是否已安装扩展函数,和可以安装的扩展函数

Java中Arrays类和Collections类常用方法示例详解

《Java中Arrays类和Collections类常用方法示例详解》本文总结了Java中Arrays和Collections类的常用方法,涵盖数组填充、排序、搜索、复制、列表转换等操作,帮助开发者高... 目录Arrays.fill()相关用法Arrays.toString()Arrays.sort()A

Nginx安全防护的多种方法

《Nginx安全防护的多种方法》在生产环境中,需要隐藏Nginx的版本号,以避免泄漏Nginx的版本,使攻击者不能针对特定版本进行攻击,下面就来介绍一下Nginx安全防护的方法,感兴趣的可以了解一下... 目录核心安全配置1.编译安装 Nginx2.隐藏版本号3.限制危险请求方法4.请求限制(CC攻击防御)

python生成随机唯一id的几种实现方法

《python生成随机唯一id的几种实现方法》在Python中生成随机唯一ID有多种方法,根据不同的需求场景可以选择最适合的方案,文中通过示例代码介绍的非常详细,需要的朋友们下面随着小编来一起学习学习... 目录方法 1:使用 UUID 模块(推荐)方法 2:使用 Secrets 模块(安全敏感场景)方法

MyBatis-Plus通用中等、大量数据分批查询和处理方法

《MyBatis-Plus通用中等、大量数据分批查询和处理方法》文章介绍MyBatis-Plus分页查询处理,通过函数式接口与Lambda表达式实现通用逻辑,方法抽象但功能强大,建议扩展分批处理及流式... 目录函数式接口获取分页数据接口数据处理接口通用逻辑工具类使用方法简单查询自定义查询方法总结函数式接口

MySQL深分页进行性能优化的常见方法

《MySQL深分页进行性能优化的常见方法》在Web应用中,分页查询是数据库操作中的常见需求,然而,在面对大型数据集时,深分页(deeppagination)却成为了性能优化的一个挑战,在本文中,我们将... 目录引言:深分页,真的只是“翻页慢”那么简单吗?一、背景介绍二、深分页的性能问题三、业务场景分析四、

JAVA中安装多个JDK的方法

《JAVA中安装多个JDK的方法》文章介绍了在Windows系统上安装多个JDK版本的方法,包括下载、安装路径修改、环境变量配置(JAVA_HOME和Path),并说明如何通过调整JAVA_HOME在... 首先去oracle官网下载好两个版本不同的jdk(需要登录Oracle账号,没有可以免费注册)下载完

Java中读取YAML文件配置信息常见问题及解决方法

《Java中读取YAML文件配置信息常见问题及解决方法》:本文主要介绍Java中读取YAML文件配置信息常见问题及解决方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要... 目录1 使用Spring Boot的@ConfigurationProperties2. 使用@Valu

Java 方法重载Overload常见误区及注意事项

《Java方法重载Overload常见误区及注意事项》Java方法重载允许同一类中同名方法通过参数类型、数量、顺序差异实现功能扩展,提升代码灵活性,核心条件为参数列表不同,不涉及返回类型、访问修饰符... 目录Java 方法重载(Overload)详解一、方法重载的核心条件二、构成方法重载的具体情况三、不构

SQL中如何添加数据(常见方法及示例)

《SQL中如何添加数据(常见方法及示例)》SQL全称为StructuredQueryLanguage,是一种用于管理关系数据库的标准编程语言,下面给大家介绍SQL中如何添加数据,感兴趣的朋友一起看看吧... 目录在mysql中,有多种方法可以添加数据。以下是一些常见的方法及其示例。1. 使用INSERT I