spring 5 . 0 . 3 RequestRejectedException:请求被拒绝，因为URL没有被规范化

Question

不确定这是Spring 5.0.3的一个bug，还是我这边的一个修复东西的新特性。

升级后，我得到了这个错误。有趣的是，这个错误只出现在我的本地机器上。使用HTTPS协议的测试环境中的相同代码工作正常。

继续…

我之所以出现此错误，是因为我加载结果JSP页面的URL是/location/thisPage.JSP。正在评估代码请求。getRequestURI（）为我提供结果/WEB-INF/somelocation//location/thisPage.jsp。如果我将JSP页面的URL固定到此location/thisPage。jsp，一切正常。

所以我的问题是，我是否应该从代码中的< code>JSP路径中删除< code>/,因为这是前进所需要的。或者< code>Spring引入了一个错误，因为我的机器和测试环境之间的唯一区别是协议< code>HTTP和< code>HTTPS。

 org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL was not normalized.
    at org.springframework.security.web.firewall.StrictHttpFirewall.getFirewalledRequest(StrictHttpFirewall.java:123)
    at org.springframework.security.web.FilterChainProxy.doFilterInternal(FilterChainProxy.java:194)
    at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:186)
    at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:357)
    at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:270)

Answer 1

我遇到了同样的问题:

Spring Boot版本=1.5.10
Spring Security版本=4.2.4

问题发生在endpoint上，其中ModelAndViewviewName是用前面的正斜杠定义的。例子：

ModelAndView mav = new ModelAndView("/your-view-here");

如果我去掉斜线，效果会很好。示例:

ModelAndView mav = new ModelAndView("your-view-here");

我还用RedirectView做了一些测试，它似乎可以在前面加一个正斜杠。

Answer 2

set允许网址编码斜杠（true）对我不起作用。仍然有内部方法在具有双斜杠时是正则化返回假的。

我通过仅具有以下代码将“严格http防火墙”替换为“默认http防火墙”：

@Bean
public HttpFirewall defaultHttpFirewall() {
    return new DefaultHttpFirewall();
}

对我来说效果不错。< br >使用< code>DefaultHttpFirewall有什么风险吗？

Answer 3

Spring Security文档在请求中提到了阻塞//的原因。

例如，它可能包含路径遍历序列（如/../）或多个正斜杠（//），这也可能导致模式匹配失败。一些容器在执行servlet映射之前将其规范化，但其他容器则没有。为了防止此类问题，FilterChainProxy使用HttpFirewall策略来检查和包装请求。默认情况下，将自动拒绝未规范化的请求，并删除路径参数和重复斜杠以进行匹配。

因此，有两种可能的解决方案-

1. 删除双斜杠（首选方法）
2. 通过使用以下代码自定义StrictHttpFirewall，允许//在Spring Security中使用

步骤1创建允许在URL中斜线的自定义防火墙。

@Bean
public HttpFirewall allowUrlEncodedSlashHttpFirewall() {
    StrictHttpFirewall firewall = new StrictHttpFirewall();
    firewall.setAllowUrlEncodedSlash(true);    
    return firewall;
}

步骤2，然后在websecurity中配置这个bean

@Override
public void configure(WebSecurity web) throws Exception {
    //@formatter:off
    super.configure(web);
    web.httpFirewall(allowUrlEncodedSlashHttpFirewall());
....
}

步骤2是一个可选步骤，Spring启动只需要一个Bean声明为HttpFirewall类型，它将在过滤器链中自动配置它。

Spring Security 5.4更新

在Spring Security 5.4及更高版本（Spring Boot

import org.springframework.security.web.firewall.RequestRejectedHandler;
import org.springframework.security.web.firewall.HttpStatusRequestRejectedHandler;

@Bean
RequestRejectedHandler requestRejectedHandler() {
   return new HttpStatusRequestRejectedHandler();
}