继承HttpServletRequestWrapper 实现request中流的重复获取

业务场景:需要打印所有的api请求的信息到log中,在Filter中拦截了所有的api请求,但是打印的信息中需要包含api请求的body,如果在Filter中使用request.getInputStream()来获取流来得到body中的信息,可以达到预期效果,但是流的获取只能获取一次,之后再获取就获取不到了,导致controller无法拿到参数。
解决办法:HttpServletRequestWrapper,该类是HttpServletRequest的封装类,我们可以自定义一个类,继承HttpServletRequestWrapper,重写其中的getInputStream方法,让其可以重复获取我们想要的流,并且在Filter中的filterChain.doFilter(ServlerRequest, ServletResponse)方法中,传入我们的自定义类的实例,而不是原来的HttpServletRequest对象,由于我们的类是继承自HttpServletRequestWrapper类,所以当参数传入此方法是没有问题的。由于我们自定义类中的getInputStream方法已经被重写为可多次获取的版本,所以也就不用担心controller无法获取到数据。
具体实现:

//自定义的ServletRequest类
import org.apache.commons.io.IOUtils;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.InputStream;

public class MyResettableServletRequest extends HttpServletRequestWrapper {
    //保存流中的数据
    private byte[] data;

    public MyResettableServletRequest(HttpServletRequest request) throws Exception{
        super(request);
//从流中获取数据
        data = IOUtils.toByteArray(request.getInputStream());
    }

    public ServletInputStream getInputStream(){
//在调用getInputStream函数时,创建新的流,包含原先数据流中的信息,然后返回
        return new MyServletInputStream(new ByteArrayInputStream(data));
    }

    class MyServletInputStream extends ServletInputStream{
        private InputStream inputStream;

        public MyServletInputStream(InputStream inputStream){
            this.inputStream = inputStream;
        }

        @Override
        public int read() throws IOException {
            return inputStream.read();
        }
    }
}
//在Filter中使用 
@Override 
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse,FilterChain filterChain) throws IOException, ServletException { 
    HttpServletRequest request = (HttpServletRequest) servletRequest; 
    MyResettableServletRequest myRequest = new MyResettableServletRequest(request); 
    String bodyParam = IOUtils.toString(myRequest.getInputStream());
    /** 
    * 打印log 
    */ 
    filterChain.doFilter(myRequest, servletResponse); 
}




总结:原生的HttpServletRequest类是有许多的缺陷的,比如无法重复获取其中的流,无法通过setAttribute方法来改写属性,当我们遇到这样的情况时,一个很好的解决办法就是使用装饰者模式,重写一个类,继承自Wrapper类,将其中的方法重写以满足我们的需求。

### 在 Spring Boot 中使继承 `HttpServletRequestWrapper` 实现的 XSS 防护功能生效的方法 为了在 Spring Boot 中实现基于继承 `HttpServletRequestWrapper` 的 XSS 防护功能,需要通过自定义过滤器将包装后的请求对象注入到请求处理链中。以下是一个完整的解决方案。 #### 1. 创建自定义请求包装器 首先,创建一个继承自 `HttpServletRequestWrapper` 的类,并在其中实现对参数和头部信息的 XSS 过滤逻辑[^2]。 ```java import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletRequestWrapper; public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper { public XssHttpServletRequestWrapper(HttpServletRequest request) { super(request); } @Override public String[] getParameterValues(String parameter) { String[] values = super.getParameterValues(parameter); if (values == null) { return null; } int count = values.length; String[] encodedValues = new String[count]; for (int i = 0; i < count; i++) { encodedValues[i] = stripXss(values[i]); } return encodedValues; } @Override public String getParameter(String parameter) { String value = super.getParameter(parameter); return stripXss(value); } @Override public String getHeader(String name) { String value = super.getHeader(name); return stripXss(value); } private String stripXss(String value) { if (value != null) { value = value.replaceAll("<", "<").replaceAll(">", ">"); value = value.replaceAll("\\(", "(").replaceAll("\\)", ")"); value = value.replaceAll("'", "'"); value = value.replaceAll("eval\\((.*)\\)", ""); value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\""); } return value; } } ``` #### 2. 创建自定义过滤器 接下来,创建一个过滤器以将上述包装器应用到每个请求中[^3]。 ```java import org.springframework.stereotype.Component; import javax.servlet.Filter; import javax.servlet.FilterChain; import javax.servlet.FilterConfig; import javax.servlet.ServletException; import javax.servlet.ServletRequest; import javax.servlet.ServletResponse; import javax.servlet.http.HttpServletRequest; import java.io.IOException; @Component public class XssFilter implements Filter { @Override public void init(FilterConfig filterConfig) throws ServletException {} @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { XssHttpServletRequestWrapper wrappedRequest = new XssHttpServletRequestWrapper((HttpServletRequest) request); chain.doFilter(wrappedRequest, response); } @Override public void destroy() {} } ``` #### 3. 注册过滤器 在 Spring Boot 中,可以通过 `@Component` 注解自动扫描并注册过滤器。如果需要手动配置,可以在 `application.properties` 或 `application.yml` 中指定过滤器的加载顺序[^3]。 ```yaml spring: mvc: servlet: load-on-startup: 1 ``` 此外,也可以通过实现 `WebMvcConfigurer` 接口来显式注册过滤器。 ```java import org.springframework.boot.web.servlet.FilterRegistrationBean; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; @Configuration public class FilterConfig { @Bean public FilterRegistrationBean<XssFilter> xssFilterRegistrationBean() { FilterRegistrationBean<XssFilter> registrationBean = new FilterRegistrationBean<>(); registrationBean.setFilter(new XssFilter()); registrationBean.addUrlPatterns("/*"); registrationBean.setOrder(1); // 设置过滤器优先级 return registrationBean; } } ``` #### 4. 测试与验证 完成上述配置后,所有传入的 HTTP 请求参数和头部信息都会经过 XSS 过滤。可以通过构造包含恶意脚本的请求来测试过滤器的有效性。 ```bash curl -X POST http://localhost:8080/test -d "param=<script>alert('xss')</script>" ``` 返回的结果应为经过过滤的安全字符串,例如 `<script>alert('xss')</script>`。 --- #### 注意事项 - **性能优化**:XSS 过滤会对每个请求参数进行处理,因此需要评估其对系统性能的影响。可以通过缓存或异步处理等方式优化性能。 - **全面性**:上述示例仅实现了基础的 XSS 过滤规则。实际项目中可以引入第三方库(如 Jsoup)以增强过滤能力。 - **存储型 XSS**:对于存储型 XSS,还需要确保从数据库读取的数据在输出到前端时也经过适当的转义。 --- ###
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值