spring boot的Thymeleaf模板注入

最新推荐文章于 2025-06-18 16:06:49 发布

caiqiiqi

最新推荐文章于 2025-06-18 16:06:49 发布

阅读量1.6k

点赞数

CC 4.0 BY-SA版权

分类专栏： java 安全 Web

本文链接：https://blog.youkuaiyun.com/caiqiiqi/article/details/108446723

安全同时被 3 个专栏收录

258 篇文章

订阅专栏

Web

216 篇文章

订阅专栏

java

206 篇文章

订阅专栏

本文深入分析了SpringBoot结合Thymeleaf模板引擎时可能存在的服务器端模板注入(SSTI)漏洞，尤其关注3.x版本的Thymeleaf。通过对比不同版本的实现差异，揭示了漏洞产生的原因及影响。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

参考：

java安全开发之spring boot Thymeleaf模板注入
https://www.acunetix.com/blog/web-security-zone/exploiting-ssti-in-thymeleaf/
https://github.com/veracode-research/spring-view-manipulation

在这里插入图片描述

场景是view的名字是用户可控时，

实际测试发现跟Spring boot的版本有关，其默认自带的Thymeleaf版本有关。

spring boot:1.5.1.RELEASE spring-boot-starter-thymeleaf:2.1.5
spring boot:2.0.0.RELEASE spring-boot-starter-thymeleaf:3.0.9
spring boot:2.2.0.RELEASE spring-boot-starter-thymeleaf:3.0.11

3.x版本的thymeleaf才受影响。

renderFragment
3.x版本的thymeleaf-spring5是这样的：

            if (!viewTemplateName.contains("::")) {
                templateName = viewTemplateName;
                markupSelectors = null;
            } else {
                IStandardExpressionParser parser = StandardExpressions.getExpressionParser(configuration);

                FragmentExpression fragmentExpression;
                try {
                    fragmentExpression = (FragmentExpression)parser.parseExpression(context, "~{" + viewTemplateName + "}");
                } catch (TemplateProcessingException var25) {
                    throw new IllegalArgumentException("Invalid template name specification: '" + viewTemplateName + "'");
                }

而2.x的thymeleaf-spring4是这样的

                Configuration configuration = viewTemplateEngine.getConfiguration();
                ProcessingContext processingContext = new ProcessingContext(context);
                templateCharacterEncoding = getStandardDialectPrefix(configuration);
                StandardFragment fragment = StandardFragmentProcessor.computeStandardFragmentSpec(configuration, processingContext, viewTemplateName, templateCharacterEncoding, "fragment");
                if (fragment == null) {
                    throw new IllegalArgumentException("Invalid template name specification: '" + viewTemplateName + "'");
                }