概述

功能介绍

FirewalledResponse是Spring Security Web提供的一个HttpServletResponse实现，是一个带有防火墙增强安全能力的HttpServletResponse实现，被HttpFirewall对象用于对一个HttpServletResponse进行安全增强的包装器。

通过FirewalledResponse的包装，它对HttpServletResponse做了如下安全增强:

设置或者添加响应头部时，确保写入的头部值不包含\r或者\n;

有关方法 : #setHeader,#addHeader
添加cookie时，确保写入的值不包含\r或者\n;

有关方法 : #addCookie
重定向时，确保重定向location中不包含\r或者\n;

有关方法 : #sendRedirect

FirewalledResponse对写入响应的值所做的增强逻辑中，如果所写入的值违反了规则，则会抛出异常IllegalArgumentException。

继承关系

使用介绍

HttpFirewall的两个实现类StrictHttpFirewall,DefaultHttpFirewall都用到了FirewalledResponse,具体用法如下 :

 @Overridepublic HttpServletResponse getFirewalledResponse(HttpServletResponse response) {return new FirewalledResponse(response);}

源代码

源代码版本 : Spring Security Web 5.1.4.RELEASE

package org.springframework.security.web.firewall;import java.io.IOException;
import java.util.regex.Pattern;import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpServletResponseWrapper;class FirewalledResponse extends HttpServletResponseWrapper {private static final Pattern CR_OR_LF = Pattern.compile("\\r|\\n");private static final String LOCATION_HEADER = "Location";private static final String SET_COOKIE_HEADER = "Set-Cookie";public FirewalledResponse(HttpServletResponse response) {super(response);}@Overridepublic void sendRedirect(String location) throws IOException {// TODO: implement pluggable validation, instead of simple blacklisting.// SEC-1790. Prevent redirects containing CRLFvalidateCrlf(LOCATION_HEADER, location);super.sendRedirect(location);}@Overridepublic void setHeader(String name, String value) {validateCrlf(name, value);super.setHeader(name, value);}@Overridepublic void addHeader(String name, String value) {validateCrlf(name, value);super.addHeader(name, value);}@Overridepublic void addCookie(Cookie cookie) {if (cookie != null) {validateCrlf(SET_COOKIE_HEADER, cookie.getName());validateCrlf(SET_COOKIE_HEADER, cookie.getValue());validateCrlf(SET_COOKIE_HEADER, cookie.getPath());validateCrlf(SET_COOKIE_HEADER, cookie.getDomain());validateCrlf(SET_COOKIE_HEADER, cookie.getComment());}super.addCookie(cookie);}void validateCrlf(String name, String value) {if (hasCrlf(name) || hasCrlf(value)) {throw new IllegalArgumentException("Invalid characters (CR/LF) in header " + name);}}private boolean hasCrlf(String value) {return value != null && CR_OR_LF.matcher(value).find();}
}

参考文章

Spring Security Web : Web安全过滤器链代理对象 FilterChainProxy
Spring Security Web : StrictHttpFirewall HTTP防火墙(严格模式)
Spring Security Web : DefaultHttpFirewall HTTP防火墙(缺省模式)
Spring Security Web : 概念模型接口 HttpFirewall

Spring Security Web : FirewalledResponse 经过防火墙加强安全的响应相关推荐

Spring Security Web : AbstractAuthenticationTargetUrlRequestHandler
概述 AbstractAuthenticationTargetUrlRequestHandler是Spring Security Web提供的一个抽象类,它主要实现了这样一种策略 : 认证动作成功时使 ...
Spring Security Web : DefaultWebSecurityExpressionHandler 缺省Web安全表达式处理器
概述 DefaultWebSecurityExpressionHandler是Spring Security Web用于Web安全表达式处理器(handler).它会基于一组缺省配置,和当时的环境,对 ...
在15分钟内使用Spring Boot和Spring Security构建一个Web应用程序
"我喜欢编写身份验证和授权代码." 〜从来没有Java开发人员. 厌倦了一次又一次地建立相同的登录屏幕? 尝试使用Okta API进行托管身份验证,授权和多因素身份验证. 开发人员 ...
Spring Security OAuth2.0认证授权知识概括
Spring Security OAuth2.0认证授权知识概括安全框架基本概念基于Session的认证方式 Spring Security简介 SpringSecurity详解分布式系统认证方 ...
Spring Security 参考手册（一）
Spring Security 参考手册 Ben AlexLuke TaylorRob WinchGunnar Hillert Spring security 是一个强大的和高度可定制的身份验证和访问 ...
8.Spring security中的HttpFirewall
文章目录 *`HttpFirewall`* *8.1`HttpFirewall`简介* *8.2`HttpFirewall`严格模式* *8.2.1`rejectForbiddenHttpMethod ...
Spring Security中文文档
Spring Security中文文档来源:https://www.springcloud.cc/spring-security.html#overall-architecture 作者 Ben A ...
Spring Security 5.0.x 参考手册【翻译自官方GIT-2018.06.12】
源码请移步至: https://github.com/aquariuspj/spring-security/tree/translator/docs/manual/src/docs/asciidoc ...
Spring Security 实战：Spring Boot 下的自动配置
点击上方蓝色"程序猿DD",选择"设为星标" 回复"资源"获取独家整理的学习资料! 来源 | 公众号「码农小胖哥」 1. 前言我们在前几篇 ...

Spring Security Web : FirewalledResponse 经过防火墙加强安全的响应

概述

功能介绍

继承关系

使用介绍

源代码

参考文章

Spring Security Web : FirewalledResponse 经过防火墙加强安全的响应相关推荐

最新文章

热门文章