引入了 Shiro 的項目請求路徑中帶有中文報錯400 的問題

来源:https://www.cnblogs.com/emanjusaka/p/18108878/page_20
-Advertisement-
Play Games

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。 ...


by emanjusaka from https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400 彼岸花開可奈何
本文歡迎分享與聚合，全文轉載請留下原文地址。

當我們的項目中引入了 Shiro 後，帶有中文的請求路徑會被攔截並返回 400 的錯誤。一般我們的請求路徑是不會帶有中文字元，但當我們訪問靜態資源時那些文件是有可能是中文名稱的。比如通過 SpringBoot 的靜態資源映射預覽上傳的圖片，這些上傳的圖片名稱就可能是中文的。在沒有引入 Shiro 的項目中是可以正常預覽的，但引入了 Shiro 的項目中預覽這些文件時就會遇到報錯 400 的問題。

造成錯誤的原因

造成這個問題的是原因是 Shiro 有一個全局的攔截器InvalidRequestFilter，它會檢查請求的路徑是否合法，如果不合法就會阻止該請求進一步處理並返回 400 的錯誤。帶有中文的請求路徑正是它認為不合法的情況之一。該請求過濾器在請求 URI 中發現以下字元都會認為其不合法並阻止該請求：

  • 分號：可以通過設置 blockSemicolon = false 來禁用
  • 反斜杠：可以通過設置blockBackslash = false 來禁用
  • 非ascii字元-可以通過設置blockNonAscii = false來禁用，禁用此檢查的功能將在將來的版本中刪除。
  • 路徑遍歷-可以通過設置blockTraversal = false來禁用

檢查的路徑

    @Override
    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        // check the original and decoded values
        return isValid(request.getRequestURI())      // user request string (not decoded)
                && isValid(request.getServletPath()) // decoded servlet part
                && isValid(request.getPathInfo());   // decoded path info (may be null)
    }

它會檢查請求的各個組成部分，包括原始請求 URI、解碼後的 servlet 路徑和解碼後的路徑信息是否符合特定的規則或格式。也就是是否包含分號、反斜杠、非 ascii 字元和路徑遍歷，如果包含這些東西的某一個都表明是不合法的，isAccessAllowed方法就會返回 false，從而阻止此次請求的進一步處理。

requestURI、servletPath 和 pathInfo 的區別

HttpServletRequest 類中的 getRequestURI()、getServletPath() 和 getPathInfo() 這三個方法分別提供了不同層次的請求路徑信息：

  1. request.getRequestURI():
    返回的是客戶端發送的完整請求URI，也就是請求行中的請求資源部分，不包含協議、主機名和埠號，但包括查詢參數（如果有）。
    示例：如果請求是 https://www.emanjusaka.top/context-path/some/path?param=value ,則 getRequestURI() 返回 /context-path/some/path?param=value。
  2. request.getServletPath():
    返回的是匹配到當前Servlet的路徑部分，這部分路徑是根據web.xml或Spring MVC的@RequestMapping註解等配置確定的。
    示例：如果請求是 https://www.emanjusaka.top/context-path/my-app/some/path，假設 /my-app/* 匹配到了一個Servlet，則 getServletPath() 返回 /my-app/some（具體值取決於Servlet映射配置）。
  3. request.getPathInfo():
    返回的是請求URI中除Servlet路徑之外的部分，這部分被稱為路徑信息（Path Info），通常包含匹配Servlet之後剩餘的具體資源路徑。
    繼續上面的示例，對於請求 https://www.emanjusaka.top/context-path/my-app/some/path，getPathInfo() 返回 /path，因為 /some/path 超出了 /my-app/* 的Servlet映射，/some 是Servlet路徑，而 /path 是額外的路徑信息。

總結起來，getRequestURI() 是整個請求資源路徑，包括可能存在的查詢參數；getServletPath() 是匹配到的Servlet路徑；而 getPathInfo() 是請求資源路徑中超出Servlet映射的那一部分。

解決方案

下麵給出兩種解決方案：

  • 通過設置blockNonAscii = false來禁用中文字元不合法的檢查（現版本生效的解決方案，可能會在以後的某個版本失效）
  • 通過自定義過濾器替換掉InvalidRequestFilter來讓中文字元通過合法檢查

方案一：

@Configuration
@Slf4j
public class ShiroConfig {
      @Bean
    public InvalidRequestFilter invalidRequestFilter() {
        InvalidRequestFilter invalidRequestFilter = new InvalidRequestFilter();
        invalidRequestFilter.setBlockNonAscii(false);
        return invalidRequestFilter;
    }
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", invalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  
  //... 省略其他配置
}

方案二：

自定義的 CNInvalidRequestFilter，把 InvalidRequestFilter 的代碼複製了過來，只修改其中一小部分，在不影響原始功能的情況下，讓中文字元的請求路徑通過檢查。

package top.emanjusaka.filter;

import org.apache.shiro.web.filter.AccessControlFilter;
import org.apache.shiro.web.util.WebUtils;
import org.springframework.stereotype.Component;
import org.springframework.util.StringUtils;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
import java.util.Collections;
import java.util.List;
import java.util.Objects;
import java.util.stream.Stream;

@Component
public class CNInvalidRequestFilter extends AccessControlFilter {
    private static final List<String> SEMICOLON = Collections.unmodifiableList(Arrays.asList(";", "%3b", "%3B"));
    private static final List<String> BACKSLASH = Collections.unmodifiableList(Arrays.asList("\\", "%5c", "%5C"));
    private boolean blockSemicolon = true;
    private boolean blockBackslash = !Boolean.getBoolean("org.apache.shiro.web.ALLOW_BACKSLASH");
    private boolean blockNonAscii = true;

    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest request = WebUtils.toHttp(req);
        return this.isValid(request.getRequestURI()) && this.isValid(request.getServletPath()) && this.isValid(request.getPathInfo());
    }

    private boolean isValid(String uri) {
        return !StringUtils.hasText(uri) || !this.containsSemicolon(uri) && !this.containsBackslash(uri) && !this.containsNonAsciiCharacters(uri);
    }

    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        WebUtils.toHttp(response).sendError(400, "Invalid request");
        return false;
    }

    private boolean containsSemicolon(String uri) {
        if (this.isBlockSemicolon()) {
            Stream<String> var10000 = SEMICOLON.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsBackslash(String uri) {
        if (this.isBlockBackslash()) {
            Stream<String> var10000 = BACKSLASH.stream();
            Objects.requireNonNull(uri);
            return var10000.anyMatch(uri::contains);
        } else {
            return false;
        }
    }

    private boolean containsNonAsciiCharacters(String uri) {
        if (this.isBlockNonAscii()) {
            return !containsOnlyPrintableAsciiCharacters(uri);
        } else {
            return false;
        }
    }

    private boolean isChinese(char c) {
        Character.UnicodeBlock ub = Character.UnicodeBlock.of(c);
        return ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_COMPATIBILITY_IDEOGRAPHS
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_A
                || ub == Character.UnicodeBlock.CJK_UNIFIED_IDEOGRAPHS_EXTENSION_B
                || ub == Character.UnicodeBlock.CJK_SYMBOLS_AND_PUNCTUATION
                || ub == Character.UnicodeBlock.HALFWIDTH_AND_FULLWIDTH_FORMS
                || ub == Character.UnicodeBlock.GENERAL_PUNCTUATION;
    }

    private boolean containsOnlyPrintableAsciiCharacters(String uri) {
        int length = uri.length();

        for (int i = 0; i < length; ++i) {
            char c = uri.charAt(i);
            if ((c < ' ' || c > '~') && !isChinese(c)) {
                return false;
            }
        }

        return true;
    }

    public boolean isBlockSemicolon() {
        return this.blockSemicolon;
    }

    public void setBlockSemicolon(boolean blockSemicolon) {
        this.blockSemicolon = blockSemicolon;
    }

    public boolean isBlockBackslash() {
        return this.blockBackslash;
    }

    public void setBlockBackslash(boolean blockBackslash) {
        this.blockBackslash = blockBackslash;
    }

    public boolean isBlockNonAscii() {
        return this.blockNonAscii;
    }

    public void setBlockNonAscii(boolean blockNonAscii) {
        this.blockNonAscii = blockNonAscii;
    }
}

配置自定義的過濾器到 shiro 中

@Configuration
@Slf4j
public class ShiroConfig {
   @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> map = new LinkedHashMap<>();
        //登出
        map.put("/logout", "logout");
        //登錄
        map.put("/login/**", "anon");
        //對所有用戶認證
        map.put("/**", "authc");
        //登錄
        shiroFilterFactoryBean.setLoginUrl(loginUrl);
        //首頁
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //錯誤頁面，認證不通過跳轉
        shiroFilterFactoryBean.setUnauthorizedUrl("/error");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        HashMap<String, Filter> filterMap = new LinkedHashMap<>();
        filterMap.put("invalidRequest", new CNInvalidRequestFilter());
        shiroFilterFactoryBean.setFilters(filterMap);
        return shiroFilterFactoryBean;
    }
  //... 省略其他配置
}

參考資料

  1. https://blog.pressed.top/2021/03/26/springboot_shiro/#InvalidRequestFilter

在技術的星河中遨游，我們互為引路星辰，共同追逐成長的光芒。願本文的洞見能觸動您的思緒，若有所共鳴，請以點贊之手，輕撫贊同的弦。
原文地址： https://www.emanjusaka.top/2024/04/shiro-request-chinese-error-400
微信公眾號：emanjusaka的編程棧


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Consul服務註冊發現集群搭建
    客戶管理系統的應用架構設計 應用層定義了軟體系統的應用功能，負責接收用戶的請求，協調領域層能力來執行任務，並將結果返回給用戶，功能模塊包括： 客戶管理：核心功能模塊，負責收集和更新客戶信息，包括個人資料、聯繫方式、消費習慣、會員卡、歸屬信息（比如銷售或顧問）和備註。這個模塊是CRM系統的基礎，支撐其 ...
  • C++ 數學函數、頭文件及布爾類型詳解
    C++ 數學 C++ 有許多函數可以讓您在數字上執行數學任務。 最大值和最小值 max(x, y) 函數可用於找到 x 和 y 的最大值： 示例 cout << max(5, 10); 而 min(x, y) 函數可用於找到 x 和 y 的最小值： 示例 cout << min(5, 10); C+ ...
  • JPA不識別MySQL的枚舉類型
    1 枚舉好用嗎？ 數據字典型欄位，枚舉比Integer好： 限定值，只能賦值枚舉的那幾個實例，不能像Integer隨便輸，保存和查詢的時候特別有用 含義明確，使用時不需要去查數據字典 顯示值跟存儲值直接映射，不需要手動轉換，比如1在頁面上顯示為啟用，0顯示禁用，枚舉定義好可以直接顯示 基於enum可 ...
  • System.gc 之後到底發生了什麼 ？
    本文基於 OpenJDK17 進行討論 在 JDK NIO 針對堆外記憶體的分配場景中，我們經常會看到 System.gc 的身影，比如當我們通過 FileChannel#map 對文件進行記憶體映射的時候，如果 JVM 進程虛擬記憶體空間中的虛擬記憶體不足，JVM 在 native 層就會拋出 OutOf ...
  • 記錄一次使用unordered_set插入數據異常的問題
    問題描述 問題和 unordered_set 有關，相關代碼如下： //列印unordered_set的所有值 void printSet(const std::unordered_set<std::string> &data) { int index = 0; auto it = data.beg ...
  • Python表格處理模塊xlrd在Anaconda中的安裝
    本文介紹在Anaconda環境下，安裝Python讀取.xls格式表格文件的庫xlrd的方法。 xlrd是一個用於讀取Excel文件的Python庫，下麵是xlrd庫的一些主要特點和功能： 讀取Excel文件：xlrd可以打開和讀取Excel文件，並提取其中的數據和元數據。 支持多種數據類型：xlr ...
  • 菜鳥記錄：c語言實現PAT甲級1010--Radix
    很長時間沒做，忙於考研和實習，久違的的拾起了演算法。做了很長時間，其實總體思路還是很簡單的，但滿分不知道為什麼就是到不了，又因為網上很多答案包括柳神的都是c++，無法參透，姑且只能這樣了。 Given a pair of positive integers, for example, 6 and 11 ...
  • Rust 實現日誌記錄功能
    目錄log 日誌庫標準簡單示例使用方法庫的開發者應用開發者日誌庫開發者使用 log4rs添加依賴配置文件運行項目參考文章 log 日誌庫標準 log 是 Rust 的日誌門面庫，由官方積極維護可以放心使用。它是Rust的日誌門面，相應的日誌 API 已成為事實上的標準被其它日誌框架所使用，有了日誌門 ...
一周排行
    -Advertisement-
    Play Games
  • （開源）都進來！簡單易懂、功能強大的許可權+可視化流程管理系統
    1、預覽地址：http://139.155.137.144:9012 2、qq群:801913255 一、前言 隨著網路的發展，企業對於信息系統數據的保密工作愈發重視，不同身份、角色對於數據的訪問許可權都應該大相徑庭。 列如 1、不同登錄人員對一個數據列表的可見度是不一樣的，如數據列、數據行、數據按鈕 ...
  • 設計模式-C#實現簡單工廠模式
    前言 上一篇文章寫瞭如何使用RabbitMQ做個簡單的發送郵件項目，然後評論也是比較多，也是準備去學習一下如何確保RabbitMQ的消息可靠性，但是由於時間原因，先來說說設計模式中的簡單工廠模式吧！ 在瞭解簡單工廠模式之前，我們要知道C#是一款面向對象的高級程式語言。它有3大特性，封裝、繼承、多態。 ...
  • Nodify學習 一：介紹與使用
    Nodify學習 一：介紹與使用 - 可樂_加冰 - 博客園 (cnblogs.com) Nodify學習 二：添加節點 - 可樂_加冰 - 博客園 (cnblogs.com) 介紹 Nodify是一個WPF基於節點的編輯器控制項，其中包含一系列節點、連接和連接器組件，旨在簡化構建基於節點的工具的過程 ...
  • 使用C#/.NET解析Wiki百科數據實現獲取歷史上的今天
    創建一個webapi項目做測試使用。 創建新控制器，搭建一個基礎框架，包括獲取當天日期、wiki的請求地址等 創建一個Http請求幫助類以及方法，用於獲取指定URL的信息 使用http請求訪問指定url，先運行一下，看看返回的內容。內容如圖右邊所示，實際上是一個Json數據。我們主要解析 大事記 部 ...
  • .NET科普：.NET簡史、.NET Standard以及C#和.NET Framework之間的關係
    最近在不少自媒體上看到有關.NET與C#的資訊與評價，感覺大家對.NET與C#還是不太瞭解，尤其是對2016年6月發佈的跨平臺.NET Core 1.0，更是知之甚少。在考慮一番之後，還是決定寫點東西總結一下，也回顧一下.NET的發展歷史。 首先，你沒看錯，.NET是跨平臺的，可以在Windows、 ...
  • Nodify學習 二：添加節點
    Nodify學習 一：介紹與使用 - 可樂_加冰 - 博客園 (cnblogs.com) Nodify學習 二：添加節點 - 可樂_加冰 - 博客園 (cnblogs.com) 添加節點（nodes） 通過上一篇我們已經創建好了編輯器實例現在我們為編輯器添加一個節點 添加model和viewmode ...
  • 論如何直接用EF Core實現創建更新時間、用戶審計，自動化樂觀併發、軟刪除和樹形查詢（上）
    前言 資料庫併發，數據審計和軟刪除一直是數據持久化方面的經典問題。早些時候，這些工作需要手寫複雜的SQL或者通過存儲過程和觸發器實現。手寫複雜SQL對軟體可維護性構成了相當大的挑戰，隨著SQL字數的變多，用到的嵌套和複雜語法增加，可讀性和可維護性的難度是幾何級暴漲。因此如何在實現功能的同時控制這些S ...
  • C# 使用模式匹配的好處,因為好用所以推薦~
    類型檢查和轉換：當你需要檢查對象是否為特定類型，並且希望在同一時間內將其轉換為那個類型時，模式匹配提供了一種更簡潔的方式來完成這一任務，避免了使用傳統的as和is操作符後還需要進行額外的null檢查。 複雜條件邏輯：在處理複雜的條件邏輯時，特別是涉及到多個條件和類型的情況下，使用模式匹配可以使代碼更 ...
  • 推薦一種批量判斷文件是否存在的快速辦法
    在日常開發中，我們經常需要和文件打交道，特別是桌面開發，有時候就會需要載入大批量的文件，而且可能還會存在部分文件缺失的情況，那麼如何才能快速的判斷文件是否存在呢？如果處理不當的，且文件數量比較多的時候，可能會造成卡頓等情況，進而影響程式的使用體驗。今天就以一個簡單的小例子，簡述兩種不同的判斷文件是否... ...
  • 論如何直接用EF Core實現創建更新時間、用戶審計，自動化樂觀併發、軟刪除和樹形查詢（中）
    前言 資料庫併發，數據審計和軟刪除一直是數據持久化方面的經典問題。早些時候，這些工作需要手寫複雜的SQL或者通過存儲過程和觸發器實現。手寫複雜SQL對軟體可維護性構成了相當大的挑戰，隨著SQL字數的變多，用到的嵌套和複雜語法增加，可讀性和可維護性的難度是幾何級暴漲。因此如何在實現功能的同時控制這些S ...
所有分類