Spring MVC URL 匹配禁用后缀访问

2022-07-01 13:07:43

Spring MVC URL 匹配禁用后缀访问

转载自: 锋行的blog:http://blog.csdn.net/ruipheng/article/details/65438703

在spring mvc中默认 访问url 加任意后缀名都能访问

比如:你想访问 /login ,但是通过 /login.do /login.action /login.json 都能访问

通常来说可能没有影响,但对于权限控制,这就严重了。

权限控制通常有两种思路:

1)弱权限控制

允许所有url通过,仅对个别重要的url做权限控制。此种方式比较简单,不需要对所有url资源进行配置,只配置重要的资源。

2)强权限控制

默认禁止所有url请求通过,仅开放授权的资源。此种方式对所有的url资源进行控制。在系统种需要整理所有的请求,或者某一目录下所有的url资源。这种方式安全控制比较严格,操作麻烦,但相对安全。

如果用第二种方式,则上面spring mvc的访问策略对安全没有影响。

但如果用第一种安全策略,则会有很大的安全风险。

例如:我们控制了/login 的访问,但是我们默认除/login的资源不受权限控制约束,那么攻击者就可以用 /login.do /login.xxx 来访问我们的资源。

<mvc:annotation-driven><mvc:path-matchingsuffix-pattern="false"/></mvc:annotation-driven>

在匹配模式时是否使用后缀模式匹配,默认值为true。这样你想访问 /login ,通过 /login.* 就不能访问了。

  • 作者:注意小野猪
  • 原文链接:https://blog.csdn.net/m0_55433493/article/details/113907482
    更新时间:2022-07-01 13:07:43