关于OGNL(Object Graph Navigation Language)

本文介绍了Struts2框架中OGNL表达式的几种实用技巧,包括直接获取值栈中的值、为Action中的对象属性赋值以及如何访问静态方法和属性等。特别强调了使用OGNL表达式时的注意事项。
1 . <s:property value="username"/>,可以直接取出value stack中的值。    

     需要注意的是:这里传递的参数的名称必须与Action类中该参数对应的set方法的名称一致。


2 . (domainModel)xxxAction.java 中有User对象的属性时,要给Use传值才能初始 化。  

      注意,User中一定要有参数为空的构造方法,除非在Action中直接new一个User对象。


3 . 访问Math类的静态方法 <s:property value="@@max(4,5)"/> 这种方式只能访问Math类的

     访问静态方法 <s:property value="@com.demo.ognl.S@s()"/>

     访问静态属性 <s:property value="@com.demo.ognl.S@STR"/>

package com.demo.ognl;
public class S {
	public static String STR = "static param";
	public static String s() {
		return "static method";
	}
}
     要访问静态方法 需要在struts.xml中配 置:

     <constant name="struts.ognl.allowStaticMethodAccess" value="true"></constant>  




<think>我们正在讨论OGNLObject-Graph Navigation Language)表达式。根据用户需求,需要介绍OGNL表达式的介绍、使用方法、应用场景等。同时,我们将参考站内引用并生成相关问题。 ### OGNL表达式介绍 OGNLObject-Graph Navigation Language)是一种功能强大的表达式语言,它提供了存取对象属性、调用对象方法、遍历对象图等功能[^1]。OGNL的语法简洁而灵活,常用于Java Web框架中(如Struts2)处理视图层和数据绑定。 ### 核心特性 1. **对象属性访问**:通过点号(`.`)访问对象的属性,如`person.name`。 2. **方法调用**:支持调用对象的方法,如`person.getName()`。 3. **静态方法调用**:使用`@`符号调用的静态方法或访问静态字段,格式为`@全名@方法名`或`@全名@字段名`[^3]。 4. **集合操作**:支持对集合进行过滤、投影等操作,例如: - 使用`?`获取符合条件的元素子集。 - 使用`^`和`$`分别获取第一个和最后一个匹配元素[^3]。 5. **表达式求值**:支持在特定上下文中执行表达式,并通过根对象简化访问。 ### 使用方法 #### 基本语法 - **属性访问**:`object.property`(如`user.age`)。 - **方法调用**:`object.method()`(如`user.getName()`)。 - **静态成员访问**:`@java.lang.Math@PI`(获取π值)[^3]。 - **集合操作**: - 使用`#`访问上下文中的命名对象(如`#session.user`)。 - 使用`?`进行条件过滤(如`users.{? #this.age > 18}`)。 - **创建对象**:使用`new`关键字(如`new java.util.ArrayList()`)。 #### 在Struts2中的应用 Struts2框架将OGNL集成到其核心中,用于数据传递和UI标签绑定[^3]: - **ValueStack作为根对象**:Action的属性可直接通过OGNL访问(无需`#`前缀)。 - **上下文对象**:通过`#`访问`request`、`session`等对象(如`#parameters.id`)。 ### 应用场景 1. **Web框架数据绑定**:Struts2使用OGNL实现表单数据到Action属性的自动填充。 2. **模板引擎**:在FreeMarker或Velocity中嵌入OGNL表达式动态生成内容。 3. **规则引擎**:在业务规则中执行动态表达式(如Drools)。 4. **测试工具**:用于模拟对象状态(如Mock测试)。 ### 安全风险 OGNL的灵活性也带来安全隐患: - **远程代码执行(RCE)**:恶意表达式可调用`Runtime.exec()`(如用户提供的URL中的攻击payload)。 - **防范措施**: - 限制表达式解析权限(如禁用静态方法调用)。 - 对用户输入严格过滤。 ### §§相关问题§§ 1. OGNL表达式如何在Struts2框架中实现数据绑定? 2. 如何防止OGNL表达式注入攻击? 3. OGNL与SpEL(Spring表达式语言)有哪些主要区别? </think>### OGNLObject-Graph Navigation Language)表达式详解 #### 一、基本介绍 OGNL 是一种强大的**表达式语言**,专为 Java 设计,用于: 1. **对象图导航**:通过链式语法访问嵌套对象属性(如 `user.address.city`)[^1][^3] 2. **方法调用**:直接调用对象方法(如 `user.getName()`) 3. **型转换**:自动处理数据型转换(如字符串转数字) 4. **集合操作**:支持对 List、Map 等集合的过滤/投影操作(如 `list.{? #this.age>18}`)[^3] 5. **静态访问**:通过 `@全名@方法` 格式调用静态方法或访问静态字段[^3] **核心特点**: - 语法简洁:`对象.属性` 或 `对象.方法()` - 上下文感知:自动识别运行环境(如 Web 请求、Session 等) - 动态求值:运行时解析表达式,灵活性高 #### 二、关键语法与使用方法 1. **基础属性访问** ```java // 获取 person 对象的 name 属性 String name = (String) Ognl.getValue("name", person); ``` 2. **方法调用** ```java // 调用 person 的 calculateAge() 方法 int age = (int) Ognl.getValue("calculateAge()", person); ``` 3. **静态方法调用**(需开启权限) ```java // 调用 Math 的 max 方法 double maxVal = (double) Ognl.getValue("@java.lang.Math@max(5, 10)", null); ``` 4. **集合操作符**[^3] | 操作符 | 功能 | 示例 | |--------|-------------------|-------------------------------| | `?` | 过滤符合条件的元素 | `users.{? #this.age > 18}` | | `^` | 取第一个匹配元素 | `users.{^ #this.age > 18}` | | `$` | 取最后一个匹配元素 | `users.{$ #this.age > 18}` | 5. **上下文变量访问**(使用 `#` 前缀) ```java // 访问 Session 中的 loginUser Ognl.getValue("#session.loginUser", context); ``` #### 三、应用场景 1. **Web 框架集成** - **Struts2**:用于视图层数据绑定(如 JSP 标签:`<s:property value="user.name"/>`)[^3] - **Spring**:早期版本用于 SpEL 表达式基础 2. **模板引擎** - 在 FreeMarker/Velocity 中动态生成内容: ```ftl Welcome, ${ognl:getValue('user.name', context)}! ``` 3. **规则引擎** ```java // 动态执行业务规则 if ((boolean) Ognl.getValue("order.total > 1000 && user.vipLevel > 3", context)) { applyDiscount(); } ``` 4. **测试工具** - 模拟对象图操作(如 JMockit 中的动态注入) #### 四、安全风险与防护 1. **高危操作** ```java // 恶意 OGNL 可执行系统命令 ${@java.lang.Runtime@getRuntime().exec('rm -rf /')} ``` **防护措施**: - 禁用静态方法访问:配置 `ognl.SecurityManager` - 输入过滤:拦截 `#_memberAccess`、`@java.lang` 等关键词 - 沙箱机制:限制可访问的(如 Apache Shiro 集成) --- ###
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值