只允许分号用于Spring安全5中的某些特定网址，即严格的Http防火墙？

Question

我们正在使用primefaces媒体组件，它生成的网址为/javax.faces.resource/dynamiccontent.properties；/ .包含分号(；).

因此，我们遇到了异常，即请求被拒绝，因为URL包含潜在的恶意字符串。

在Spring Security 5更新中，默认启用StrictHttpFirewall。我们可以使用StrictHttpFirewall中的setAllowSemicolon（true）指定允许分号。

但这将适用于所有URL。

有什么方法可以让我们配置只允许特定URL使用分号？

Answer 1

如果使用xml配置，请声明您的bean:

<bean id="customStrictHttpFirewall"
    class="org.springframework.security.web.firewall.StrictHttpFirewall">
    <property name="allowSemicolon" value="true"/>
</bean>

然后在安全性中.xml参考：

<http-firewall ref="customStrictHttpFirewall"/>

如果使用注释，可以搜索答案，像这样！

Answer 2

正如上面的答案所示，我还为允许分号的自定义防火墙添加了以下XML定义。

<bean id="myHttpFirewall" class="org.springframework.security.web.firewall.StrictHttpFirewall">
    <property name="allowSemicolon" value="true"/>
</bean>

<security:http-firewall ref="myHttpFirewall"/>

然而，这本身没有影响。为了在我应用程序中使用防火墙，我必须将它添加到我的FilterChainProxy中，如下所示:

<bean id="filterChainProxy" class="org.springframework.security.web.FilterChainProxy">
    <constructor-arg>
        <list>
            <security:filter-chain pattern="/**" filters="...."/>
        </list>
    </constructor-arg>
    <property name="firewall" ref="myHttpFirewall"/>
</bean>