Spring“请求被拒绝，因为URL未被规范化。”如何判断使用了什么URL？

Question

我在生产中遇到大量错误

org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL was not normalized.

据推测，这是由我的url中的//引起的，但我不知道它们是从哪里来的。我如何知道是什么url导致了这种情况？当你不知道发生了什么时，很难修复。

我确实意识到有一个相关的问题，但这并没有解决如何诊断有问题的URL。它只解决了如何关闭严格的防火墙。

Answer 1

我的问题是，我有一个使用Spring Security的配置，并且还在控制器类上启用了@CrossOrigin注释，下面是我刚刚添加到我的配置方法中的内容。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // ...
        http.cors(); //Only this
    }
}

你也可以在这里查阅参考:https://www.baeldung.com/spring-cors

Answer 2

Http防火墙将在过滤器链中一开始就检查请求，甚至在调用安全过滤器链中的任何过滤器之前。因此，您最好的选择是设置一个放置在过滤器链Proxy前面的过滤器，并且此过滤器用于捕获请求回复异常并记录其详细信息。

（1） 实现捕获此异常的筛选器：

public class LogFilter implements Filter{

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {
        try {
            chain.doFilter(request, response);
        } catch (Exception e) {
            if( e instanceof RequestRejectedException ) {
                logger.info("Catch RequestRejectedException....");
                logger.info((HttpServletRequest)request).getRequestURI()); //log the request detail such as its URI
            }
            throw e;
        }
    }
}

（2） 配置并注册过滤器

@Bean
public FilterRegistrationBean someFilterRegistration() {
    FilterRegistrationBean registration = new FilterRegistrationBean();
    registration.setFilter(new LogFilter());
    registration.addUrlPatterns("/*");
    registration.setOrder(RegistrationBean.HIGHEST_PRECEDENCE); //Must has higher precedence than FilterChainProxy
    return registration;
} 

Answer 3

很抱歉没有把这个作为评论发表，但是我还不能这么做。

您是否尝试过另一个日志级别并记录到文件中？我现在不在家，但如果不在家，请试试下面这几行:

logging.level.=ERROR
logging.file=/home/spring.log

也可以尝试将DEBUG作为日志级别

其他为什么（虽然有点笨拙）试图用/ 替换每个//

作为第三个选项，我找到了这个脚本，你可能会让它工作。

@ExceptionHandler(RequestRejectedException.class)
@ResponseStatus(HttpStatus.BAD_REQUEST)
public String handleRequestRejectedException(final HttpServletRequest request, final RequestRejectedException ex)
{
    if (LOGGER.isLoggable(Level.INFO))
    {
        LOGGER.log(Level.INFO, "Request Rejected", ex);
    }

    LOGGER.log(Level.WARNING, "Rejected request for [" + request.getRequestURL().toString() + "]. Reason: " + ex.getMessage());
    return "errorPage";
}

祝你好运，如果你不成功，我明天就回来了。