SpringSecurity解决路径中含有%2F的问题

2024-03-17 12:44
文章标签 java 问题 路径 spring 解决 springsecurity 2f 含有

本文主要是介绍SpringSecurity解决路径中含有%2F的问题，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

近期有个需求要求Controller可以处理URL中有%2F的请求，比如：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path;}
}

请求URL可以是：http://localhost:8080/hello/name/test%2F123

原始的Spring也是不支持路径中有%2F的情况的，直接请求页面会直接报错，但是这种情况已经能搜到很多处理方式了，我亲测最简单且有效的方法就是在Spring启动类中，增加如下语句允许SLASH出现。

public static void main( String[] args ) {System.setProperty("org.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH", "true");SpringApplication.run(App.class, args);
}

解决Spring的问题之后，如果路径中还是有%2F，访问URL会出现如下的错误：

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.Sun Mar 17 01:19:43 CST 2024
There was an unexpected error (type=Internal Server Error, status=500).
The requestURI cannot contain encoded slash. Got /xxx/xxx/test%2F123

这个错误就是Spring Security抛出的，如果观察控制台，也可以看到响应的堆栈打印：

org.springframework.security.web.firewall.RequestRejectedException: The requestURI cannot contain encoded slash. Got /security/name/test%2F123at org.springframework.security.web.firewall.DefaultHttpFirewall.getFirewalledRequest(DefaultHttpFirewall.java:62) ~[spring-security-web-4.2.9.R

因此正式进入Spring Security的处理环节，这里我给出了三种方案，分别应对安全程度从低到高的场景，当然DIY程度也是从小到大，如果是自己的项目，只是单纯的想消除这个讨厌的requestURI cannot contain encoded slash，建议使用方式一就行。

方式一：全局处理%2F存在

这个方案其实有博主已经提到了：https://www.jb51.net/program/290154s0s.htm

但是我按这个操作之后发现还是不生效，后来还是在Stack Overflow上才发现这里只是新建了Bean，没有注入，那当然毛用没有了。。

在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

在继承了WebSecurityConfigurerAdapter的WebSecurityConfig（没有就新建一个），写入如下代码：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {DefaultHttpFirewall defaultHttpFirewall = new DefaultHttpFirewall();defaultHttpFirewall.setAllowUrlEncodedSlash(true);return defaultHttpFirewall;}public void configure(WebSecurity web) throws Exception {// 这里一定要注册，不然不会生效的web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

这样操作完，所有的Controller就都可以处理Path中有%2F的请求了。

方式二：白名单处理%2F，其余请求走DefaultHttpFirewall

全局都允许路径有%2F是很不安全的，因此在生产环境中，这种路径中含有%2F的URL一定是可枚举，可使用白名单处理的，只有命中白名单的URL才允许%2F出现，其他的URL则仍然使用DefaultHttpFirewall去判断URL是否能够访问。

首先在继承了WebMvcConfigurer的WebMvcConfig写入如下代码，这里如果不配置的话，后面即使允许slash也会404，应该是Spring把%2F转换为/所以不匹配Controller，方式三就不用这步了。

import org.springframework.context.annotation.Configuration;
import org.springframework.format.FormatterRegistry;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.validation.MessageCodesResolver;
import org.springframework.validation.Validator;
import org.springframework.web.method.support.HandlerMethodArgumentResolver;
import org.springframework.web.method.support.HandlerMethodReturnValueHandler;
import org.springframework.web.servlet.HandlerExceptionResolver;
import org.springframework.web.servlet.config.annotation.*;
import org.springframework.web.util.UrlPathHelper;import java.util.List;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void configurePathMatch(PathMatchConfigurer configurer) {UrlPathHelper urlPathHelper = new UrlPathHelper();urlPathHelper.setUrlDecode(false);configurer.setUrlPathHelper(urlPathHelper);}// ... 省略其他未修改的方法
}

自己继承DefaultHttpFirewall实现一个防火墙重写getFirewalledRequest方法，大概翻一下代码就可以看到，原本的getFirewallRequest是根据allowUrlEncodedSlash变量判断URL中是否允许%2F的，而这个变量可以通过setAllowUrlEncodedSlash进行设置，因此只需要对在白名单的URL临时允许%2F。

import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;import javax.servlet.http.HttpServletRequest;public class CustomHttpFirewall extends DefaultHttpFirewall {public FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {// 如果在允许urlEncodeSlash的白名单内if (isInSlashWhiteList(request.getRequestURI())) {// 临时允许slashsetAllowUrlEncodedSlash(true);}FirewalledRequest res = super.getFirewalledRequest(request);// 关闭允许，这里如果不关闭，相当于全局开启了允许slashsetAllowUrlEncodedSlash(false);return res;}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

但是需要注意的是，在Spring中，Bean是单例，因此在某个请求中设置allowUrlEncodedSlash，可能会影响另一个请求，在并发度不高的服务中，这种现象应该不会出现，但是如果并发度很高，就要考虑这种相互影响的因素，这时也可以考虑使用方式三的思路去解决。

方式三：白名单处理%2F，其余请求走StrictHttpFirewall

如果项目中强制要求使用StrictHttpFirewall（StrictHttpFirewall只允许URL中有ASCII字符出现，因此方式二不再适用），或者是考虑到方式二中并发度的问题，就可以考虑用本方式来解决问题，这里的思路整体上是捕捉白名单中的请求，将%2F替换为一个不会出现在URL中的字符串，比如@temp@，然后在Controller再把这个字符串替换回去。

首先需要实现一个FirewalledRequest的包装类，该包装类能够改写原来的URI，以实现修改HttpServletRequest的修改的requestURI的目的：

import org.springframework.security.web.firewall.FirewalledRequest;import javax.servlet.http.HttpServletRequest;public class CustomHttpServletRequestWrapper extends FirewalledRequest {private String newUri;private String originUri;public CustomHttpServletRequestWrapper(HttpServletRequest request, String newUri) {super(request);originUri = request.getRequestURI();this.newUri = newUri;}@Overridepublic void reset() {}@Overridepublic StringBuffer getRequestURL() {return new StringBuffer(super.getRequestURL().toString().replace(originUri, newUri));}@Overridepublic String getRequestURI() {// 返回新的URIreturn newUri;}@Overridepublic String getServletPath() {// 替换原本的URI为新的URI// 这里把%2F换为/是因为getServletPath取出的有可能已经是把%2F转换为/的URI了return super.getServletPath().replace(originUri, newUri).replace(originUri.replace("%2F", "/"), newUri);}@Overridepublic String getPathInfo() {// 返回新的URIString pathInfo = super.getPathInfo();return (pathInfo != null) ? pathInfo.replace(originUri, newUri): null;}
}

然后继承StrictHttpFirewall重写getFirewalledRequest方法，在这里实现对%2F的替换。

import org.springframework.security.web.firewall.FirewalledRequest;
import org.springframework.security.web.firewall.RequestRejectedException;
import org.springframework.security.web.firewall.StrictHttpFirewall;import javax.servlet.http.HttpServletRequest;public class CustomStrictHttpFirewall extends StrictHttpFirewall {public static final String replaceSlash = "@temp@";@Overridepublic FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {if (isInSlashWhiteList(request.getRequestURI())) {// 在白名单中，替换%2Freturn new CustomHttpServletRequestWrapper(request, request.getRequestURI().replace("%2F", replaceSlash));}// 否则使用严格模式的生成方法return super.getFirewalledRequest(request);}/*** 判断URL是否在Slash允许的白名单内* @param url* @return*/private boolean isInSlashWhiteList(String url) {return url.contains("hello");}
}

最后，注册这个自定义的StrictHttpFirewall

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.firewall.DefaultHttpFirewall;
import org.springframework.security.web.firewall.HttpFirewall;
import org.springframework.security.web.firewall.StrictHttpFirewall;@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Beanpublic HttpFirewall allowUrlEncodedSlashHttpFirewall() {return new CustomStrictHttpFirewall();}public void configure(WebSecurity web) throws Exception {web.httpFirewall(allowUrlEncodedSlashHttpFirewall());}
}

在实际的Controller中，把这个特殊字符串再转换回去就行了：

@RestController
@RequestMapping("/hello")
public class HelloController {@GetMapping("/name/{path}")@ResponseBodypublic String test(@PathVariable String path) {return path.replace(CustomStrictHttpFirewall.replaceSlash, "/");}
}

这篇关于SpringSecurity解决路径中含有%2F的问题的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/818994。

相关文章

Spring Boot中WebSocket常用使用方法详解

Spring Boot中WebSocket常用使用方法详解

《SpringBoot中WebSocket常用使用方法详解》本文从WebSocket的基础概念出发,详细介绍了SpringBoot集成WebSocket的步骤,并重点讲解了常用的使用方法,包括简单消... 目录一、WebSocket基础概念1.1 什么是WebSocket1.2 WebSocket与HTTP
阅读更多...
SpringBoot+Docker+Graylog 如何让错误自动报警

SpringBoot+Docker+Graylog 如何让错误自动报警

《SpringBoot+Docker+Graylog如何让错误自动报警》SpringBoot默认使用SLF4J与Logback,支持多日志级别和配置方式,可输出到控制台、文件及远程服务器,集成ELK... 目录01 Spring Boot 默认日志框架解析02 Spring Boot 日志级别详解03 Sp
阅读更多...
java中反射Reflection的4个作用详解

java中反射Reflection的4个作用详解

《java中反射Reflection的4个作用详解》反射Reflection是Java等编程语言中的一个重要特性,它允许程序在运行时进行自我检查和对内部成员（如字段、方法、类等）的操作,本文将详细介绍... 目录作用1、在运行时判断任意一个对象所属的类作用2、在运行时构造任意一个类的对象作用3、在运行时判断
阅读更多...
java如何解压zip压缩包

java如何解压zip压缩包

《java如何解压zip压缩包》：本文主要介绍java如何解压zip压缩包问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Java解压zip压缩包实例代码结果如下总结java解压zip压缩包坐在旁边的小伙伴问我怎么用 java 将服务器上的压缩文件解压出来，
阅读更多...
SpringBoot中SM2公钥加密、私钥解密的实现示例详解

SpringBoot中SM2公钥加密、私钥解密的实现示例详解

《SpringBoot中SM2公钥加密、私钥解密的实现示例详解》本文介绍了如何在SpringBoot项目中实现SM2公钥加密和私钥解密的功能,通过使用Hutool库和BouncyCastle依赖,简化... 目录一、前言1、加密信息(示例)2、加密结果(示例)二、实现代码1、yml文件配置2、创建SM2工具
阅读更多...
Spring WebFlux 与 WebClient 使用指南及最佳实践

Spring WebFlux 与 WebClient 使用指南及最佳实践

《SpringWebFlux与WebClient使用指南及最佳实践》WebClient是SpringWebFlux模块提供的非阻塞、响应式HTTP客户端,基于ProjectReactor实现,... 目录Spring WebFlux 与 WebClient 使用指南1. WebClient 概述2. 核心依
阅读更多...
SQL Server配置管理器无法打开的四种解决方法

SQL Server配置管理器无法打开的四种解决方法

《SQLServer配置管理器无法打开的四种解决方法》本文总结了SQLServer配置管理器无法打开的四种解决方法,文中通过图文示例介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的... 目录方法一：桌面图标进入方法二：运行窗口进入检查版本号对照表php方法三：查找文件路径方法四：检查 S
阅读更多...
Spring Boot @RestControllerAdvice全局异常处理最佳实践

Spring Boot @RestControllerAdvice全局异常处理最佳实践

《SpringBoot@RestControllerAdvice全局异常处理最佳实践》本文详解SpringBoot中通过@RestControllerAdvice实现全局异常处理,强调代码复用、统... 目录前言一、为什么要使用全局异常处理？二、核心注解解析1. @RestControllerAdvice2
阅读更多...
Spring IoC 容器的使用详解(最新整理)

Spring IoC 容器的使用详解(最新整理)

《SpringIoC容器的使用详解(最新整理)》文章介绍了Spring框架中的应用分层思想与IoC容器原理,通过分层解耦业务逻辑、数据访问等模块,IoC容器利用@Component注解管理Bean... 目录1. 应用分层2. IoC 的介绍3. IoC 容器的使用3.1. bean 的存储3.2. 方法注
阅读更多...
Spring事务传播机制最佳实践

Spring事务传播机制最佳实践

《Spring事务传播机制最佳实践》Spring的事务传播机制为我们提供了优雅的解决方案,本文将带您深入理解这一机制,掌握不同场景下的最佳实践,感兴趣的朋友一起看看吧... 目录1. 什么是事务传播行为2. Spring支持的七种事务传播行为2.1 REQUIRED（默认）2.2 SUPPORTS2
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2