一个简单的拦截器代码

silverhoof

拦截器

1. package com.sfexpress.pmp.setting;
   
2. 
   
3. import com.google.common.collect.ImmutableMap;
   
4. import com.google.common.collect.Maps;
   
5. import com.sfexpress.pmp.dao.UserDao;
   
6. import com.sfexpress.pmp.model.user.User;
   
7. 
   
8. import org.glassfish.grizzly.http.server.Session;
   
9. import org.springframework.beans.factory.annotation.Autowired;
   
10. import org.springframework.security.core.Authentication;
    
11. import org.springframework.security.core.context.SecurityContext;
    
12. import org.springframework.security.core.context.SecurityContextHolder;
    
13. import org.springframework.stereotype.Component;
    
14. import org.springframework.web.context.request.RequestContextHolder;
    
15. import org.springframework.web.context.request.ServletRequestAttributes;
    
16. 
    
17. import javax.servlet.*;
    
18. import javax.servlet.http.Cookie;
    
19. import javax.servlet.http.HttpServletRequest;
    
20. import javax.servlet.http.HttpServletRequestWrapper;
    
21. import javax.servlet.http.HttpServletResponse;
    
22. import javax.servlet.http.HttpSession;
    
23. 
    
24. import java.io.*;
    
25. import java.util.Map;
    
26. import java.util.regex.Pattern;
    
27. 
    
28. @Component
    
29. public class XSSRequestFilter implements Filter {
    
30.      
    
31.     @Autowired
    
32.     private UserDao userDao;
    
33.      
    
34.     @Override
    
35.     public void init(FilterConfig config) throws ServletException {
    
36.     }
    
37. 
    
38.     @Override
    
39.     public void destroy() {
    
40.     }
    
41. 
    
42.     @Override
    
43.     public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    
44.         HttpServletRequest httpServletRequest = (HttpServletRequest) request;
    
45.         HttpServletResponse httpServletResponse = (HttpServletResponse) response;
    
46.          
    
47.          
    
48.         Cookie[] cookies = httpServletRequest.getCookies();
    
49.         HttpSession session = httpServletRequest.getSession();
    
50.         addUserToSession(session);
    
51.         //User user = (User)session.getAttribute("user");
    
52.         String url = httpServletRequest.getServletPath();
    
53.         Map<String,String> map = Maps.newHashMap();//用于存登录的时候请求地址
    
54.         map.put("a", "/resources/login.htm");
    
55.         map.put("b", "/favicon.ico");
    
56.         map.put("c", "/j_spring_security_check");
    
57.         boolean flag=true;
    
58.         if(map.containsValue(url)){//包含登录
    
59.             flag=false;
    
60.         }
    
61.         if(null != cookies){
    
62.             for(Cookie c :cookies ){
    
63.                 //当前端cookies里有jsessionid,并且前端cookies的jsessionid跟服务端的sessionId不一致，说明是有退出，登录的时候除外
    
64.                 if(flag && null != c.getValue() &&"JSESSIONID".equals(c.getName()) && !c.getValue().equals(session.getId())){
    
65.                     //httpServletResponse.sendRedirect("http://asura.st.sf-express.com/");
    
66.                     httpServletResponse.setStatus(406);
    
67.                     return;
    
68.                 }
    
69.             }
    
70.         }
    
71.         /*
    
72.         if(httpServletRequest.getSession(false)==null || session.getId()==null){
    
73.             System.out.println("session已过期");
    
74.         }*/
    
75.          
    
76.          
    
77.         if (decodeHash(httpServletRequest, httpServletResponse)) return;
    
78. 
    
79.         if (request.getContentType() != null && request.getContentType().contains("multipart/form-data")) {
    
80.             chain.doFilter(httpServletRequest, response);
    
81.         } else {
    
82.             if ((httpServletRequest).getMethod().equalsIgnoreCase("POST") || (httpServletRequest).getMethod().equalsIgnoreCase("PUT")) {
    
83.                 httpServletRequest = new XSSRequestWrapper(httpServletRequest);
    
84.             }
    
85.             chain.doFilter(httpServletRequest, response);
    
86.         }
    
87.     }
    
88. 
    
89.      
    
90.     public void addUserToSession(HttpSession session){
    
91.          
    
92.          
    
93.     }
    
94.      
    
95.     private boolean decodeHash(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse) throws IOException {
    
96.         String requestURI = httpServletRequest.getRequestURI();
    
97.         if (requestURI.contains("%23")) {
    
98.             String replacedURL = requestURI.replace("%23", "#");
    
99.             httpServletResponse.sendRedirect(replacedURL);
    
100.             return true;
     
101.         }
     
102.         return false;
     
103.     }
     
104. 
     
105.     private static class XSSRequestWrapper extends HttpServletRequestWrapper {
     
106.         private HttpServletRequest request;
     
107. 
     
108.         private static Map<Pattern, String> FILTER_MAPPING = Maps.newLinkedHashMap(new ImmutableMap.Builder<Pattern, String>()
     
109.                /*.put(Pattern.compile("&"), "&amp;")
     
110.                 .put(Pattern.compile("<"), "&lt;")
     
111.                 .put(Pattern.compile(">"), "&gt;")*/
     
112.                 .put(Pattern.compile("&"), "&")
     
113.                 .put(Pattern.compile("<"), "〈")
     
114.                 .put(Pattern.compile(">"), "〉")
     
115.                 .put(Pattern.compile("&amp;"), "&")
     
116.                 .put(Pattern.compile("&lt;"), "〈")
     
117.                 .put(Pattern.compile("&gt;"), "〉")
     
118.                 .build());
     
119. 
     
120.         public XSSRequestWrapper(HttpServletRequest request) throws IOException {
     
121.             super(request);
     
122.             this.request = request;
     
123.         }
     
124. 
     
125.         @Override
     
126.         public ServletInputStream getInputStream() throws IOException {
     
127.             XSSServletInputStream xssServletInputStream = new XSSServletInputStream();
     
128.             ServletInputStream inputStream = request.getInputStream();
     
129. 
     
130.             ByteArrayOutputStream byteStream = new ByteArrayOutputStream();
     
131.             try {
     
132.                 int ch;
     
133.                 while ((ch = inputStream.read()) != -1) {
     
134.                     byteStream.write(ch);
     
135.                 }
     
136.             } finally {
     
137.                 inputStream.close();
     
138.             }
     
139.             xssServletInputStream.stream = new ByteArrayInputStream(filterRequestBody(new String(byteStream.toByteArray(),"utf-8")).getBytes("utf-8"));
     
140.             return xssServletInputStream;
     
141.         }
     
142. 
     
143.         @Override
     
144.         public BufferedReader getReader() throws IOException {
     
145.             return new BufferedReader(new InputStreamReader(getInputStream(), request.getCharacterEncoding()));
     
146.         }
     
147. 
     
148.         private String filterRequestBody(String requestBody){
     
149.             String filterResult = readUnicodeStr2(requestBody);
     
150.             for (Map.Entry<Pattern, String> patternStringEntry : FILTER_MAPPING.entrySet()) {
     
151.                 Pattern pattern = patternStringEntry.getKey();
     
152.                 filterResult = pattern.matcher(filterResult).replaceAll(patternStringEntry.getValue());
     
153.             }
     
154.             return filterResult;
     
155.         }
     
156. 
     
157.         private class XSSServletInputStream extends ServletInputStream {
     
158.             private InputStream stream;
     
159. 
     
160.             @Override
     
161.             public int read() throws IOException {
     
162.                 return stream.read();
     
163.             }
     
164.         }
     
165. 
     
166.         public static String readUnicodeStr2(String unicodeStr) {
     
167.             StringBuilder buf = new StringBuilder();
     
168. 
     
169.             for (int i = 0; i < unicodeStr.length(); i++) {
     
170.                 char char1 = unicodeStr.charAt(i);
     
171.                 if (char1 == '\\' && isUnicode(unicodeStr, i)) {
     
172.                     char char2 = unicodeStr.charAt(i-1);
     
173.                     if(char2 == '\\'){
     
174.                         buf.append(char1);
     
175.                         continue;
     
176.                     }
     
177.                     String cStr = unicodeStr.substring(i + 2, i + 6);
     
178.                     int cInt = Integer.parseInt(cStr,16);
     
179.                     buf.append((char) cInt);
     
180.                     // 跨过当前unicode码，因为还有i++，所以这里i加5，而不是6
     
181.                     i = i + 5;
     
182.                 } else {
     
183.                     buf.append(char1);
     
184.                 }
     
185.             }
     
186.             return buf.toString();
     
187.         }
     
188. 
     
189.         // 判断以index从i开始的串，是不是unicode码
     
190.         private static boolean isUnicode(String unicodeStr, int i) {
     
191.             int len = unicodeStr.length();
     
192.             int remain = len - i;
     
193.             // unicode码，反斜杠后还有5个字符 uxxxx
     
194.             if (remain < 5)
     
195.                 return false;
     
196. 
     
197.             char flag2 = unicodeStr.charAt(i + 1);
     
198.             if (flag2 != 'u')
     
199.                 return false;
     
200.             String nextFour = unicodeStr.substring(i + 2, i + 6);
     
201.             return isHexStr(nextFour);
     
202.         }
     
203. 
     
204.         /** hex str 1-9 a-f A-F */
     
205.         private static boolean isHexStr(String str) {
     
206.             for (int i = 0; i < str.length(); i++) {
     
207.                 char ch = str.charAt(i);
     
208.                 boolean isHex = (ch >= '0' && ch <= '9' || ch >= 'a' && ch <= 'f' || ch >= 'A' && ch <= 'F');
     
209.                 if (!isHex)
     
210.                     return false;
     
211.             }
     
212.             return true;
     
213.         }
     
214.     }
     
215. 
     
216. }

复制代码

1. <filter>
   
2.     <filter-name>XSSFilter</filter-name>
   
3.     <filter-class>com.sfexpress.pmp.setting.XSSRequestFilter</filter-class>
   
4. </filter>
   
5. 
   
6. <filter-mapping>
   
7.     <filter-name>XSSFilter</filter-name>
   
8.     <url-pattern>/*</url-pattern>
   
9. </filter-mapping>

复制代码