引入了 Shiro 的項目請求路徑中帶有中文報錯400 的問題

来源:https://www.cnblogs.com/emanjusaka/p/18108878/page_20
-Advertisement-
Play Games

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。 ...


by emanjusaka from https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400 彼岸花開可奈何
本文歡迎分享與聚合，全文轉載請留下原文地址。

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。比如通過 SpringBoot 的靜態資源映射預覽上傳的圖片，這些上傳的圖片名稱就可能是中文的。在沒有引入 Shiro 的項目中是可以正常預覽的，但引入了 Shiro 的項目中預覽這些文件時就會遇到報錯 400 的問題。

造成錯誤的原因

造成這個問題的是原因是 Shiro 有一個全局的攔截器InvalidRequestFilter，它會檢查請求的路徑是否合法，如果不合法就會阻止該請求進一步處理並返回 400 的錯誤。帶有中文的請求路徑正是它認為不合法的情況之一。該請求過濾器在請求 URI 中發現以下字元都會認為其不合法並阻止該請求：

  • 分號：可以通過設置 blockSemicolon = false 來禁用
  • 反斜杠：可以通過設置blockBackslash = false 來禁用
  • 非ascii字元-可以通過設置blockNonAscii = false來禁用，禁用此檢查的功能將在將來的版本中刪除。
  • 路徑遍歷-可以通過設置blockTraversal = false來禁用

檢查的路徑

    @Override
    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        // check the original and decoded values
        return isValid(request.getRequestURI())      // user request string (not decoded)
                && isValid(request.getServletPath()) // decoded servlet part
                && isValid(request.getPathInfo());   // decoded path info (may be null)
    }

它會檢查請求的各個組成部分，包括原始請求 URI、解碼後的 servlet 路徑和解碼後的路徑信息是否符合特定的規則或格式。也就是是否包含分號、反斜杠、非 ascii 字元和路徑遍歷，如果包含這些東西的某一個都表明是不合法的，isAccessAllowed方法就會返回 false，從而阻止此次請求的進一步處理。

requestURI、servletPath 和 pathInfo 的區別

HttpServletRequest 類中的 getRequestURI()、getServletPath() 和 getPathInfo() 這三個方法分別提供了不同層次的請求路徑信息：

  1. request.getRequestURI():
    返回的是客戶端發送的完整請求URI，也就是請求行中的請求資源部分，不包含協議、主機名和埠號，但包括查詢參數（如果有）。
    示例：如果請求是 https://www.emanjusaka.top/context-path/some/path?param=value ,則 getRequestURI() 返回 /context-path/some/path?param=value。
  2. request.getServletPath():
    返回的是匹配到當前Servlet的路徑部分，這部分路徑是根據web.xml或Spring MVC的@RequestMapping註解等配置確定的。
    示例：如果請求是 https://www.emanjusaka.top/context-path/my-app/some/path，假設 /my-app/* 匹配到了一個Servlet，則 getServletPath() 返回 /my-app/some（具體值取決於Servlet映射配置）。
  3. request.getPathInfo():
    返回的是請求URI中除Servlet路徑之外的部分，這部分被稱為路徑信息（Path Info），通常包含匹配Servlet之後剩餘的具體資源路徑。
    繼續上面的示例，對於請求 https://www.emanjusaka.top/context-path/my-app/some/path，getPathInfo() 返回 /path，因為 /some/path 超出了 /my-app/* 的Servlet映射，/some 是Servlet路徑，而 /path 是額外的路徑信息。

總結起來，getRequestURI() 是整個請求資源路徑，包括可能存在的查詢參數；getServletPath() 是匹配到的Servlet路徑；而 getPathInfo() 是請求資源路徑中超出Servlet映射的那一部分。

解決方案

下麵給出兩種解決方案：

  • 通過設置blockNonAscii = false來禁用中文字元不合法的檢查（現版本生效的解決方案，可能會在以後的某個版本失效）
  • 通過自定義過濾器替換掉InvalidRequestFilter來讓中文字元通過合法檢查

方案一：

@Configuration
@Slf4j
public class ShiroConfig {
      @Bean
    public InvalidRequestFilter invalidRequestFilter() {
        InvalidRequestFilter invalidRequestFilter = new InvalidRequestFilter();
        invalidRequestFilter.setBlockNonAscii(false);
        return invalidRequestFilter;
    }
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", invalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  
  //... 省略其他配置
}

方案二：

自定義的 CNInvalidRequestFilter，把 InvalidRequestFilter 的代碼複製了過來，只修改其中一小部分，在不影響原始功能的情況下，讓中文字元的請求路徑通過檢查。

package top.emanjusaka.filter;

import org.apache.shiro.web.filter.AccessControlFilter;
import org.apache.shiro.web.util.WebUtils;
import org.springframework.stereotype.Component;
import org.springframework.util.StringUtils;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
import java.util.Collections;
import java.util.List;
import java.util.Objects;
import java.util.stream.Stream;

@Component
public class CNInvalidRequestFilter extends AccessControlFilter {
    private static final List<String> SEMICOLON = Collections.unmodifiableList(Arrays.asList(";", "%3b", "%3B"));
    private static final List<String> BACKSLASH = Collections.unmodifiableList(Arrays.asList("\\", "%5c", "%5C"));
    private boolean blockSemicolon = true;
    private boolean blockBackslash = !Boolean.getBoolean("org.apache.shiro.web.ALLOW_BACKSLASH");
    private boolean blockNonAscii = true;

    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        return this.isValid(request.getRequestURI()) && this.isValid(request.getServletPath()) && this.isValid(request.getPathInfo());
    }

    private boolean isValid(String uri) {
        return !StringUtils.hasText(uri) || !this.containsSemicolon(uri) && !this.containsBackslash(uri) && !this.containsNonAsciiCharacters(uri);
    }

    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        WebUtils.toHttp(response).sendError(400, "Invalid request");
        return false;
    }

    private boolean containsSemicolon(String uri) {
        if (this.isBlockSemicolon()) {
            Stream<String> var10000 = SEMICOLON.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsBackslash(String uri) {
        if (this.isBlockBackslash()) {
            Stream<String> var10000 = BACKSLASH.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsNonAsciiCharacters(String uri) {
        if (this.isBlockNonAscii()) {
            return !containsOnlyPrintableAsciiCharacters(uri);
        } else {
            return false;
        }
    }

    private boolean isChinese(char c) {
        Character.UnicodeBlock ub = Character.UnicodeBlock.of(c);
        return ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_COMPATIBILITY_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_A
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_B
                || ub == Character.UnicodeBlock.CJK_SYMBOLS_AND_PUNCTUATION
                || ub == Character.UnicodeBlock.HALFWIDTH_AND_FULLWIDTH_FORMS
                || ub == Character.UnicodeBlock.GENERAL_PUNCTUATION;
    }

    private boolean containsOnlyPrintableAsciiCharacters(String uri) {
        int length = uri.length();

        for (int i = 0; i < length; ++i) {
            char c = uri.charAt(i);
            if ((c < ' ' || c > '~') && !isChinese(c)) {
                return false;
            }
        }

        return true;
    }

    public boolean isBlockSemicolon() {
        return this.blockSemicolon;
    }

    public void setBlockSemicolon(boolean blockSemicolon) {
        this.blockSemicolon = blockSemicolon;
    }

    public boolean isBlockBackslash() {
        return this.blockBackslash;
    }

    public void setBlockBackslash(boolean blockBackslash) {
        this.blockBackslash = blockBackslash;
    }

    public boolean isBlockNonAscii() {
        return this.blockNonAscii;
    }

    public void setBlockNonAscii(boolean blockNonAscii) {
        this.blockNonAscii = blockNonAscii;
    }
}

配置自定義的過濾器到 shiro 中

@Configuration
@Slf4j
public class ShiroConfig {
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", new CNInvalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  //... 省略其他配置
}

參考資料

  1. https://blog.pressed.top/2021/03/26/springboot_shiro/#InvalidRequestFilter

在技術的星河中遨游，我們互為引路星辰，共同追逐成長的光芒。願本文的洞見能觸動您的思緒，若有所共鳴，請以點贊之手，輕撫贊同的弦。
原文地址： https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400
微信公眾號：emanjusaka的編程棧


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Consul服務註冊發現集群搭建
    客戶管理系統的應用架構設計 應用層定義了軟體系統的應用功能，負責接收用戶的請求，協調領域層能力來執行任務，並將結果返回給用戶，功能模塊包括： 客戶管理：核心功能模塊，負責收集和更新客戶信息，包括個人資料、聯繫方式、消費習慣、會員卡、歸屬信息（比如銷售或顧問）和備註。這個模塊是CRM系統的基礎，支撐其 ...
  • C++ 數學函數、頭文件及布爾類型詳解
    C++ 數學 C++ 有許多函數可以讓您在數字上執行數學任務。 最大值和最小值 max(x, y) 函數可用於找到 x 和 y 的最大值： 示例 cout << max(5, 10); 而 min(x, y) 函數可用於找到 x 和 y 的最小值： 示例 cout << min(5, 10); C+ ...
  • JPA不識別MySQL的枚舉類型
    1 枚舉好用嗎？ 數據字典型欄位，枚舉比Integer好： 限定值，只能賦值枚舉的那幾個實例，不能像Integer隨便輸，保存和查詢的時候特別有用 含義明確，使用時不需要去查數據字典 顯示值跟存儲值直接映射，不需要手動轉換，比如1在頁面上顯示為啟用，0顯示禁用，枚舉定義好可以直接顯示 基於enum可 ...
  • System.gc 之後到底發生了什麼 ？
    本文基於 OpenJDK17 進行討論 在 JDK NIO 針對堆外記憶體的分配場景中，我們經常會看到 System.gc 的身影，比如當我們通過 FileChannel#map 對文件進行記憶體映射的時候，如果 JVM 進程虛擬記憶體空間中的虛擬記憶體不足，JVM 在 native 層就會拋出 OutOf ...
  • 記錄一次使用unordered_set插入數據異常的問題
    問題描述 問題和 unordered_set 有關，相關代碼如下： //列印unordered_set的所有值 void printSet(const std::unordered_set<std::string> &data) { int index = 0; auto it = data.beg ...
  • Python表格處理模塊xlrd在Anaconda中的安裝
    本文介紹在Anaconda環境下，安裝Python讀取.xls格式表格文件的庫xlrd的方法。 xlrd是一個用於讀取Excel文件的Python庫，下麵是xlrd庫的一些主要特點和功能： 讀取Excel文件：xlrd可以打開和讀取Excel文件，並提取其中的數據和元數據。 支持多種數據類型：xlr ...
  • 菜鳥記錄：c語言實現PAT甲級1010--Radix
    很長時間沒做，忙於考研和實習，久違的的拾起了演算法。做了很長時間，其實總體思路還是很簡單的，但滿分不知道為什麼就是到不了，又因為網上很多答案包括柳神的都是c++，無法參透，姑且只能這樣了。 Given a pair of positive integers, for example, 6 and 11 ...
  • Rust 實現日誌記錄功能
    目錄log 日誌庫標準簡單示例使用方法庫的開發者應用開發者日誌庫開發者使用 log4rs添加依賴配置文件運行項目參考文章 log 日誌庫標準 log 是 Rust 的日誌門面庫，由官方積極維護可以放心使用。它是Rust的日誌門面，相應的日誌 API 已成為事實上的標準被其它日誌框架所使用，有了日誌門 ...
一周排行
    -Advertisement-
    Play Games
  • 實用接地氣的 .NET 微服務框架
    前言 微服務架構已經成為搭建高效、可擴展系統的關鍵技術之一，然而，現有許多微服務框架往往過於複雜，使得我們普通開發者難以快速上手並體驗到微服務帶了的便利。為瞭解決這一問題，於是作者精心打造了一款最接地氣的 .NET 微服務框架，幫助我們輕鬆構建和管理微服務應用。 本框架不僅支持 Consul 服務註 ...
  • 基於surging的木舟IOT平臺如何添加網路組件
    先看一下效果吧: 如果不會寫動畫或者懶得寫動畫，就直接交給Blend來做吧; 其實Blend操作起來很簡單，有點類似於在操作PS，我們只需要設置關鍵幀，滑鼠點來點去就可以了，Blend會自動幫我們生成我們想要的動畫效果. 第一步：要創建一個空的WPF項目 第二步：右鍵我們的項目，在最下方有一個，在B ...
  • Prism:框架介紹與安裝
    Prism:框架介紹與安裝 什麼是Prism? Prism是一個用於在 WPF、Xamarin Form、Uno 平臺和 WinUI 中構建鬆散耦合、可維護和可測試的 XAML 應用程式框架 Github https://github.com/PrismLibrary/Prism NuGet htt ...
  • 不可不知的WPF畫筆（Brush）
    在WPF中，屏幕上的所有內容，都是通過畫筆（Brush）畫上去的。如按鈕的背景色，邊框，文本框的前景和形狀填充。藉助畫筆，可以繪製頁面上的所有UI對象。不同畫筆具有不同類型的輸出（ 如：某些畫筆使用純色繪製區域，其他畫筆使用漸變、圖案、圖像或繪圖）。 ...
  • .NET 8 高併發微服務電商系統實戰
    前言 嗨，大家好！推薦一個基於 .NET 8 的高併發微服務電商系統，涵蓋了商品、訂單、會員、服務、財務等50多種實用功能。 項目不僅使用了 .NET 8 的最新特性，還集成了AutoFac、DotLiquid、HangFire、Nlog、Jwt、LayUIAdmin、SqlSugar、MySQL、 ...
  • 基於surging 如何利用peerjs進行語音視頻通話
    本文主要介紹攝像頭（相機）如何採集數據，用於類似攝像頭本地顯示軟體，以及流媒體數據傳輸場景如傳屏、視訊會議等。 攝像頭採集有多種方案，如AForge.NET、WPFMediaKit、OpenCvSharp、EmguCv、DirectShow.NET、MediaCaptre（UWP），網上一些文章以及 ...
  • [WPF]數據綁定時為何會出現StringFormat失效
    前言 Seal-Report 是一款.NET 開源報表工具，擁有 1.4K Star。它提供了一個完整的框架，使用 C# 編寫，最新的版本採用的是 .NET 8.0 。 它能夠高效地從各種資料庫或 NoSQL 數據源生成日常報表，並支持執行複雜的報表任務。 其簡單易用的安裝過程和直觀的設計界面，我們 ...
  • NET Core 多身份校驗與策略模式
    背景需求： 系統需要對接到XXX官方的API，但因此官方對接以及管理都十分嚴格。而本人部門的系統中包含諸多子系統，系統間為了穩定，程式間多數固定Token+特殊驗證進行調用，且後期還要提供給其他兄弟部門系統共同調用。 原則上：每套系統都必須單獨接入到官方，但官方的接入複雜，還要官方指定機構認證的證書 ...
  • C#自定義控制項—轉換開關
    本文介紹下電腦設備關機的情況下如何通過網路喚醒設備，之前電源S狀態 電腦Power電源狀態- 唐宋元明清2188 - 博客園 (cnblogs.com) 有介紹過遠程喚醒設備，後面這倆天瞭解多了點所以單獨加個隨筆 設備關機的情況下，使用網路喚醒的前提條件： 1. 被喚醒設備需要支持這WakeOnL ...
  • .NET 8.0 前後分離快速開發框架
    前言 大家好，推薦一個.NET 8.0 為核心，結合前端 Vue 框架，實現了前後端完全分離的設計理念。它不僅提供了強大的基礎功能支持，如許可權管理、代碼生成器等，還通過採用主流技術和最佳實踐，顯著降低了開發難度，加快了項目交付速度。 如果你需要一個高效的開發解決方案，本框架能幫助大家輕鬆應對挑戰，實 ...
所有分類