当struts.ognl.allowStaticMethodAccess为false时，Struts 2调用静态方法

Question

撑杆2设置struts.ognl.allowStaticMethodAccess到false，安全问题。静态方法调用在某些情况下可能很有用，例如，在验证器表达式中使用StringUtils处理基于表达式的验证器Struts2时。

解决此问题的一种方法是在操作中定义一个辅助方法，例如，如果要使用Math类，则应在下面添加：

public double randomMath(){
  return Math.random();
}


public double asinMath(double a){
  return Math.asin(a);
}

....

并将其用作${randomMath}或${asinMath(1)}

如您所见，对于Math类中的每个方法，我们都需要在操作中定义一个public具有相同签名的方法。

有没有更好的方法来避免这些样板吸气剂？

Answer 1

OGNL允许执行方法，但是默认情况下禁用静态访​​问，因此您不能在表达式中使用静态方法。但是，您可以教OGNL哪些类需要访问静态方法。

[OGNL开发人员指南：方法访问器](https://commons.apache.org/proper/commons-

ognl/developer-guide.html#Method_Accessors)

方法调用是OGNL需要基于动态信息对方法进行查找的另一个领域。该MethodAccessor接口提供了有关OGNL如何调用方法的信息。当请求静态或实例方法时，将调用此接口的实现者以实际执行该方法。

public interface MethodAccessor
{

    Object callStaticMethod( Map context, Class targetClass, String

methodName, List args )
throws MethodFailedException;

    Object callMethod( Map context, Object target, String methodName,

List args )
throws MethodFailedException;

}

您可以使用逐个类地设置方法访问器OgnlRuntime.setMethodAccessor()。是Object的默认方法访问器（它仅根据方法名称和参数类型查找适当的方法，并使用反射来调用该方法）。

您可以编写一些东西

public class StringUtil extends StringUtils implements MethodAccessor {
  //implement above methods
}

public static final String MESSAGE = "hello.message";

/**
 * Field for Message property.
 */
private String message;

/**
 * Return Message property.
 *
 * @return Message property
 */
public String getMessage() {
    return message;
}
private StringUtil stringUtil = new StringUtil();

public StringUtil getStringUtil() {
  return stringUtil;
}

public String execute() throws Exception {
    setMessage(getText(MESSAGE));
    OgnlRuntime.setMethodAccessor(StringUtil.class, stringUtil);
    return SUCCESS;
}

在JSP中

<s:if test="!stringUtil.isEmpty(message)">
  <h2><s:property value="message"/></h2>
</s:if>