StrictHttpFirewall in spring security 4.2 vs spring MVC @MatrixVariable

Крис 2018-02-02 10:23.

Tendo atualizado para o spring security 4.2.4, descobri que StrictHttpFirewall agora é o padrão. Infelizmente não funciona bem com spring MVC @MatrixVariable desde ";" não são mais permitidos. Como contornar isso?

Exemplo:

@GetMapping(path = "/{param}")
public void example(@PathVariable String param,
                    @MatrixVariable Map<String, String> matrix) {
    //...
}

Isso poderia ser chamado assim:

mockMvc.perform(get("/someparam;key=value"))

E o mapa da matriz seria preenchido. Agora a segurança da primavera o bloqueia.

org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL contained a potentially malicious String ";"

at org.springframework.security.web.firewall.StrictHttpFirewall.rejectedBlacklistedUrls(StrictHttpFirewall.java:140)

Eu poderia usar um HttpFirewall personalizado que permitisse ponto-e-vírgulas. Existe uma maneira de usar @MatrixVariable sem usar caracteres proibidos?

BTW: o javadoc está incorreto https://docs.spring.io/autorepo/docs/spring-security/4.2.x/apidocs/index.html?org/springframework/security/web/firewall/StrictHttpFirewall.html

Desde a:

5.0.1

Eu acho que foi backport?

spring-mvc spring-security

3 answers

Munish Chandel 2018-02-06 13:27.

Você pode diluir o firewall padrão de segurança Spring usando sua instância personalizada definida do StrictHttpFirewall (por sua própria conta e risco)

@Bean
public HttpFirewall allowUrlEncodedSlashHttpFirewall() {
    StrictHttpFirewall firewall = new StrictHttpFirewall();
    firewall.setAllowUrlEncodedSlash(true);
    firewall.setAllowSemicolon(true);
    return firewall;
}

E então use este bean de firewall personalizado no WebSecurity (o Spring boot não precisa desta mudança)

@Override
public void configure(WebSecurity web) throws Exception {
  super.configure(web);
  // @formatter:off
  web.httpFirewall(allowUrlEncodedSlashHttpFirewall());
...
}

Isso deve funcionar com Spring Security 4.2.4+, mas é claro que traz alguns riscos!

morten.c 2019-03-09 01:21.

Conforme mencionado por Крис em um comentário, se você preferir usar uma abordagem XML, você pode adicionar a seguinte parte ao seu securityContext.xml (ou o que quer que seu xml-config relacionado à spring-security seja chamado):

<bean id="allowSemicolonHttpFirewall" 
      class="org.springframework.security.web.firewall.StrictHttpFirewall"> 
        <property name="allowSemicolon" value="true"/> 
</bean> 
<security:http-firewall ref="allowSemicolonHttpFirewall"/>

A <bean>parte define um novo StrictHttpFirewallbean com o id allowSemicolonHttpFirewallque é então definido como firewall http padrão na <security>tag referenciando o id.

Swapnil Nakate 2019-05-12 18:36.

Eu usei a combinação dos dois seguintes

https://stackoverflow.com/a/48636757/6780127
https://stackoverflow.com/a/30539991/6780127

O primeiro resolveu o The request was rejected because the URL contained a potentially malicious String ";"
O segundo resolveu o Spring MVC Missing matrix variable

Como estou usando Spring Security com Spring Web, tive que fazer as duas coisas. E o problema agora está resolvido.

Eu descobri que usar o @MatrixVariableseguinte padrão é útil. Primeiro no URL {num}deve ser mencionado para usá-lo como@MatrixVariable

@RequestMapping(method = RequestMethod.GET,value = "/test{num}")
@ResponseBody
public ResponseEntity<String> getDetail(@MatrixVariable String num){
    return new ResponseEntity<>("test"+num, HttpStatus.OK);
}

Japanese Spanish German French Thai Portuguese Russian Vietnamese Italian Korean Turkish Indonesian Polish Hindi

MORE COOL STUFF

Jana Duggar: tudo o que ela disse sobre o amor e sua janela de 5 anos para encontrar o 'escolhido'

Jana Duggar foi aberta sobre sua busca pelo amor. Aqui está tudo o que ela disse sobre o assunto e sua janela de cinco anos para o casamento.

2023-06-12.

Sam Heughan sabe exatamente o que vai tirar do set de 'Outlander' - 'Eu me sinto como Jamie quando os coloco'

O astro de 'Outlander', Sam Heughan, revelou recentemente o que vai levar do set para relembrar Jamie Fraser, o papel que o tornou uma estrela.

2023-06-12.

A música dos primeiros Beatles que foi uma das 'apresentações mais emocionantes' da banda, de acordo com um Fab Four Insider

'She Loves You' foi escrita em uma hora, gravada em um dia, e foi a música dos Beatles com uma de suas melhores apresentações de sua carreira.

2023-06-11.

Dolly Parton ajudou sua avó 'inválida' quando nenhum dos outros netos o faria - ela também pregaria uma peça nela

Dolly Parton e sua avó Bessie tiveram um relacionamento especial. Vovó Parton estava muito doente, mas isso não impediu Dolly de pregar uma peça nela.

2023-06-11.

Origens do Islã: Uma História Religiosa

As origens do Islã remontam ao início do século VII na Península Arábica. O Islã começou na cidade de Meca, onde um homem chamado Maomé, um comerciante bem-sucedido de uma tribo poderosa, recebeu uma revelação divina.

2025-12-03.

10 das criaturas marinhas mais assustadoras que espreitam nas profundezas do oceano

O oceano é repleto de beleza, mas também esconde algumas das criaturas marinhas mais assustadoras do planeta. Muitos desses animais espreitam nas profundezas do oceano, no mundo escuro e de alta pressão do fundo do mar.

2025-10-29.

10 Melhores Encantamentos de Espada no Minecraft

Se você está enfrentando criaturas hostis ou se preparando para cenários PvP, conhecer os melhores encantamentos de espada no Minecraft pode te dar uma grande vantagem. Encantar espadas permite causar mais dano, aumentar a quantidade de itens obtidos de criaturas e prolongar a durabilidade da sua espada.

2025-10-29.

O programa dos Panteras Negras da Marvel será o programa de animação mais importante até agora

Eyes of Wakanda está diretamente relacionado ao MCU, além de atualizações sobre X-Men '97, What If..., Demolidor e muito mais.

2024-07-03 19:03.

Anna Wintour deixa o cargo de editora-chefe da Vogue após 37 anos — e está contratando!

A editora-chefe de longa data, que ingressou na Vogue americana em 1988, anunciou a notícia em uma reunião com a equipe na manhã de quinta-feira, 26 de junho.

2025-06-27.

Tudo sobre o deslumbrante anel de noivado de safira de Kate Middleton (e a herança real que o inspirou!)

O anel de noivado de Kate Middleton pertenceu à Princesa Diana antes do Príncipe William pedi-la em casamento. Descubra tudo o que há para saber sobre a peça histórica aqui.

2024-09-01.

3 maneiras comprovadas de melhorar sua habilidade de escrita

Os benefícios de escrever e estratégias para ajudá-lo a fazê-lo

Em 2022, com o lançamento do GPT-3, a habilidade de escrita parece se tornar menos importante. Com a IA, pessoas com redação ruim também podem gerar funcionários de qualidade.

A lenta erosão: revelando como as pessoas desperdiçam em suas carreiras

No mundo acelerado e competitivo de hoje, a carreira desempenha um papel significativo no crescimento pessoal, na estabilidade financeira e na satisfação geral com a vida. No entanto, muitos indivíduos encontram-se presos em um ciclo implacável de estagnação e insatisfação, definhando gradualmente em suas vidas profissionais.

O que torna um podcast influente?

Na semana passada, notei um comunicado de imprensa, enviado via PressGazette (um site de notícias da mídia britânica). O artigo anunciava que a Acast, a empresa de publicidade e hospedagem de podcast Scandi, lideraria um consórcio de "provavelmente os editores mais influentes" em podcasting.

Language

Japanese

Spanish

German

French

Thai

Portuguese

Russian

Vietnamese

Italian

Korean

Turkish

Indonesian

Polish

Hindi

StrictHttpFirewall in spring security 4.2 vs spring MVC @MatrixVariable

3 answers

Related questions

MORE COOL STUFF

Jana Duggar: tudo o que ela disse sobre o amor e sua janela de 5 anos para encontrar o 'escolhido'

Sam Heughan sabe exatamente o que vai tirar do set de 'Outlander' - 'Eu me sinto como Jamie quando os coloco'

A música dos primeiros Beatles que foi uma das 'apresentações mais emocionantes' da banda, de acordo com um Fab Four Insider

Dolly Parton ajudou sua avó 'inválida' quando nenhum dos outros netos o faria - ela também pregaria uma peça nela

Origens do Islã: Uma História Religiosa

Qual é a madeira mais dura do mundo?

10 das criaturas marinhas mais assustadoras que espreitam nas profundezas do oceano

10 Melhores Encantamentos de Espada no Minecraft

Recapitulação do Urso: Marcus é o homem mais gentil, gentil e sincero de Chicago?

Por US $ 9.800, você os colocaria neste Toyota RAV4 2008 de sete lugares?

Van de entrega da Amazon pega fogo em explosão de fogo durante o calor do verão em Houston