引入了 Shiro 的項目請求路徑中帶有中文報錯400 的問題

来源:https://www.cnblogs.com/emanjusaka/p/18108878/page_20
-Advertisement-
Play Games

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。 ...


by emanjusaka from https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400 彼岸花開可奈何
本文歡迎分享與聚合，全文轉載請留下原文地址。

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。比如通過 SpringBoot 的靜態資源映射預覽上傳的圖片，這些上傳的圖片名稱就可能是中文的。在沒有引入 Shiro 的項目中是可以正常預覽的，但引入了 Shiro 的項目中預覽這些文件時就會遇到報錯 400 的問題。

造成錯誤的原因

造成這個問題的是原因是 Shiro 有一個全局的攔截器InvalidRequestFilter，它會檢查請求的路徑是否合法，如果不合法就會阻止該請求進一步處理並返回 400 的錯誤。帶有中文的請求路徑正是它認為不合法的情況之一。該請求過濾器在請求 URI 中發現以下字元都會認為其不合法並阻止該請求：

  • 分號：可以通過設置 blockSemicolon = false 來禁用
  • 反斜杠：可以通過設置blockBackslash = false 來禁用
  • 非ascii字元-可以通過設置blockNonAscii = false來禁用，禁用此檢查的功能將在將來的版本中刪除。
  • 路徑遍歷-可以通過設置blockTraversal = false來禁用

檢查的路徑

    @Override
    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        // check the original and decoded values
        return isValid(request.getRequestURI())      // user request string (not decoded)
                && isValid(request.getServletPath()) // decoded servlet part
                && isValid(request.getPathInfo());   // decoded path info (may be null)
    }

它會檢查請求的各個組成部分，包括原始請求 URI、解碼後的 servlet 路徑和解碼後的路徑信息是否符合特定的規則或格式。也就是是否包含分號、反斜杠、非 ascii 字元和路徑遍歷，如果包含這些東西的某一個都表明是不合法的，isAccessAllowed方法就會返回 false，從而阻止此次請求的進一步處理。

requestURI、servletPath 和 pathInfo 的區別

HttpServletRequest 類中的 getRequestURI()、getServletPath() 和 getPathInfo() 這三個方法分別提供了不同層次的請求路徑信息：

  1. request.getRequestURI():
    返回的是客戶端發送的完整請求URI，也就是請求行中的請求資源部分，不包含協議、主機名和埠號，但包括查詢參數（如果有）。
    示例：如果請求是 https://www.emanjusaka.top/context-path/some/path?param=value ,則 getRequestURI() 返回 /context-path/some/path?param=value。
  2. request.getServletPath():
    返回的是匹配到當前Servlet的路徑部分，這部分路徑是根據web.xml或Spring MVC的@RequestMapping註解等配置確定的。
    示例：如果請求是 https://www.emanjusaka.top/context-path/my-app/some/path，假設 /my-app/* 匹配到了一個Servlet，則 getServletPath() 返回 /my-app/some（具體值取決於Servlet映射配置）。
  3. request.getPathInfo():
    返回的是請求URI中除Servlet路徑之外的部分，這部分被稱為路徑信息（Path Info），通常包含匹配Servlet之後剩餘的具體資源路徑。
    繼續上面的示例，對於請求 https://www.emanjusaka.top/context-path/my-app/some/path，getPathInfo() 返回 /path，因為 /some/path 超出了 /my-app/* 的Servlet映射，/some 是Servlet路徑，而 /path 是額外的路徑信息。

總結起來，getRequestURI() 是整個請求資源路徑，包括可能存在的查詢參數；getServletPath() 是匹配到的Servlet路徑；而 getPathInfo() 是請求資源路徑中超出Servlet映射的那一部分。

解決方案

下麵給出兩種解決方案：

  • 通過設置blockNonAscii = false來禁用中文字元不合法的檢查（現版本生效的解決方案，可能會在以後的某個版本失效）
  • 通過自定義過濾器替換掉InvalidRequestFilter來讓中文字元通過合法檢查

方案一：

@Configuration
@Slf4j
public class ShiroConfig {
      @Bean
    public InvalidRequestFilter invalidRequestFilter() {
        InvalidRequestFilter invalidRequestFilter = new InvalidRequestFilter();
        invalidRequestFilter.setBlockNonAscii(false);
        return invalidRequestFilter;
    }
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", invalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  
  //... 省略其他配置
}

方案二：

自定義的 CNInvalidRequestFilter，把 InvalidRequestFilter 的代碼複製了過來，只修改其中一小部分，在不影響原始功能的情況下，讓中文字元的請求路徑通過檢查。

package top.emanjusaka.filter;

import org.apache.shiro.web.filter.AccessControlFilter;
import org.apache.shiro.web.util.WebUtils;
import org.springframework.stereotype.Component;
import org.springframework.util.StringUtils;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
import java.util.Collections;
import java.util.List;
import java.util.Objects;
import java.util.stream.Stream;

@Component
public class CNInvalidRequestFilter extends AccessControlFilter {
    private static final List<String> SEMICOLON = Collections.unmodifiableList(Arrays.asList(";", "%3b", "%3B"));
    private static final List<String> BACKSLASH = Collections.unmodifiableList(Arrays.asList("\\", "%5c", "%5C"));
    private boolean blockSemicolon = true;
    private boolean blockBackslash = !Boolean.getBoolean("org.apache.shiro.web.ALLOW_BACKSLASH");
    private boolean blockNonAscii = true;

    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        return this.isValid(request.getRequestURI()) && this.isValid(request.getServletPath()) && this.isValid(request.getPathInfo());
    }

    private boolean isValid(String uri) {
        return !StringUtils.hasText(uri) || !this.containsSemicolon(uri) && !this.containsBackslash(uri) && !this.containsNonAsciiCharacters(uri);
    }

    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        WebUtils.toHttp(response).sendError(400, "Invalid request");
        return false;
    }

    private boolean containsSemicolon(String uri) {
        if (this.isBlockSemicolon()) {
            Stream<String> var10000 = SEMICOLON.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsBackslash(String uri) {
        if (this.isBlockBackslash()) {
            Stream<String> var10000 = BACKSLASH.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsNonAsciiCharacters(String uri) {
        if (this.isBlockNonAscii()) {
            return !containsOnlyPrintableAsciiCharacters(uri);
        } else {
            return false;
        }
    }

    private boolean isChinese(char c) {
        Character.UnicodeBlock ub = Character.UnicodeBlock.of(c);
        return ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_COMPATIBILITY_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_A
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_B
                || ub == Character.UnicodeBlock.CJK_SYMBOLS_AND_PUNCTUATION
                || ub == Character.UnicodeBlock.HALFWIDTH_AND_FULLWIDTH_FORMS
                || ub == Character.UnicodeBlock.GENERAL_PUNCTUATION;
    }

    private boolean containsOnlyPrintableAsciiCharacters(String uri) {
        int length = uri.length();

        for (int i = 0; i < length; ++i) {
            char c = uri.charAt(i);
            if ((c < ' ' || c > '~') && !isChinese(c)) {
                return false;
            }
        }

        return true;
    }

    public boolean isBlockSemicolon() {
        return this.blockSemicolon;
    }

    public void setBlockSemicolon(boolean blockSemicolon) {
        this.blockSemicolon = blockSemicolon;
    }

    public boolean isBlockBackslash() {
        return this.blockBackslash;
    }

    public void setBlockBackslash(boolean blockBackslash) {
        this.blockBackslash = blockBackslash;
    }

    public boolean isBlockNonAscii() {
        return this.blockNonAscii;
    }

    public void setBlockNonAscii(boolean blockNonAscii) {
        this.blockNonAscii = blockNonAscii;
    }
}

配置自定義的過濾器到 shiro 中

@Configuration
@Slf4j
public class ShiroConfig {
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", new CNInvalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  //... 省略其他配置
}

參考資料

  1. https://blog.pressed.top/2021/03/26/springboot_shiro/#InvalidRequestFilter

在技術的星河中遨游，我們互為引路星辰，共同追逐成長的光芒。願本文的洞見能觸動您的思緒，若有所共鳴，請以點贊之手，輕撫贊同的弦。
原文地址： https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400
微信公眾號：emanjusaka的編程棧


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Consul服務註冊發現集群搭建
    客戶管理系統的應用架構設計 應用層定義了軟體系統的應用功能，負責接收用戶的請求，協調領域層能力來執行任務，並將結果返回給用戶，功能模塊包括： 客戶管理：核心功能模塊，負責收集和更新客戶信息，包括個人資料、聯繫方式、消費習慣、會員卡、歸屬信息（比如銷售或顧問）和備註。這個模塊是CRM系統的基礎，支撐其 ...
  • C++ 數學函數、頭文件及布爾類型詳解
    C++ 數學 C++ 有許多函數可以讓您在數字上執行數學任務。 最大值和最小值 max(x, y) 函數可用於找到 x 和 y 的最大值： 示例 cout << max(5, 10); 而 min(x, y) 函數可用於找到 x 和 y 的最小值： 示例 cout << min(5, 10); C+ ...
  • JPA不識別MySQL的枚舉類型
    1 枚舉好用嗎？ 數據字典型欄位，枚舉比Integer好： 限定值，只能賦值枚舉的那幾個實例，不能像Integer隨便輸，保存和查詢的時候特別有用 含義明確，使用時不需要去查數據字典 顯示值跟存儲值直接映射，不需要手動轉換，比如1在頁面上顯示為啟用，0顯示禁用，枚舉定義好可以直接顯示 基於enum可 ...
  • System.gc 之後到底發生了什麼 ？
    本文基於 OpenJDK17 進行討論 在 JDK NIO 針對堆外記憶體的分配場景中，我們經常會看到 System.gc 的身影，比如當我們通過 FileChannel#map 對文件進行記憶體映射的時候，如果 JVM 進程虛擬記憶體空間中的虛擬記憶體不足，JVM 在 native 層就會拋出 OutOf ...
  • 記錄一次使用unordered_set插入數據異常的問題
    問題描述 問題和 unordered_set 有關，相關代碼如下： //列印unordered_set的所有值 void printSet(const std::unordered_set<std::string> &data) { int index = 0; auto it = data.beg ...
  • Python表格處理模塊xlrd在Anaconda中的安裝
    本文介紹在Anaconda環境下，安裝Python讀取.xls格式表格文件的庫xlrd的方法。 xlrd是一個用於讀取Excel文件的Python庫，下麵是xlrd庫的一些主要特點和功能： 讀取Excel文件：xlrd可以打開和讀取Excel文件，並提取其中的數據和元數據。 支持多種數據類型：xlr ...
  • 菜鳥記錄：c語言實現PAT甲級1010--Radix
    很長時間沒做，忙於考研和實習，久違的的拾起了演算法。做了很長時間，其實總體思路還是很簡單的，但滿分不知道為什麼就是到不了，又因為網上很多答案包括柳神的都是c++，無法參透，姑且只能這樣了。 Given a pair of positive integers, for example, 6 and 11 ...
  • Rust 實現日誌記錄功能
    目錄log 日誌庫標準簡單示例使用方法庫的開發者應用開發者日誌庫開發者使用 log4rs添加依賴配置文件運行項目參考文章 log 日誌庫標準 log 是 Rust 的日誌門面庫，由官方積極維護可以放心使用。它是Rust的日誌門面，相應的日誌 API 已成為事實上的標準被其它日誌框架所使用，有了日誌門 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類