如何處理@PathVariable中的特殊字符問題

上代碼:

 @GetMapping(value="/user/{useraccount}")
 public void getUserAccount(@PathVariable("useraccount") String userAccount) {
 
 logger.info("useraccount :" + userAccount);
 }

正常訪問:

/user/zhangsan

打印:useraccount : zhangsan

看似一切正常

but:

訪問:/user/zhangsan/lisi

打印:useraccount : zhangsan

咦,為啥不是useraccount :zhangsan/lisi ?

@PathVariable並沒有我們想象的聰明,對於參數中的/並不能跟實際路徑/分開

事實上,有. ; -等都不能正確切分。

怎麼辦呢?

兩種方案:

1,簡單點,直接使用@RequestParam代替

 @GetMapping(value="/user")
 public void getUserAccount(@RequestParam("useraccount") String userAccount) {
 
 logger.info("useraccount :" + userAccount);
 }

用/user?useraccount=zhangsan 訪問

2,使用正則過濾

 @GetMapping(value="/user/{useraccount:[a-zA-Z0-9\\.\\-\\_\\;\\\]+}")
 public void getUserAccount(@PathVariable("useraccount") String userAccount) {
 
 logger.info("useraccount :" + userAccount);
 }

正常訪問:

/user/zhangsan

打印:useraccount : zhangsan

當然,這個就有點不靈活瞭,第一種簡單又方便

補充:記一次@PathVariable特殊參數會丟失的排查問題

請求參數中如果包含.,會造成參數丟失,請看如下代碼

以下代碼,省略@RestController控制層類代碼

@RequestMapping(value = "hello/{name}")
public Map<String, Object> sayHello(@PathVariable("name") String name, HttpServletRequest request) {
 Map<String, Object> rtnMap = new HashMap<>();
 rtnMap.put("msg", "hello " + name);
 return rtnMap;
}

請求地址: hello/ddf,則正常返回{“msg”: “hello ddf”}

請求地址: hello/ddf.com,依然還是返回{“msg”: “hello ddf”}

如果需要解決上面這個問題,則可以將代碼更改如下(該解決方式從網上搜尋)

@RequestMapping(value = "hello/{name:.*}")
public Map<String, Object> sayHello(@PathVariable("name") String name, HttpServletRequest request) {
 Map<String, Object> rtnMap = new HashMap<>();
 rtnMap.put("msg", "hello " + name);
 return rtnMap;
}

如果使用@PathVariable以.sh或.bat等特殊字符結尾,會影響實際返回數據

報錯如下:

{
 "timestamp": 1541405292119,
 "status": 406,
 "error": "Not Acceptable",
 "exception": "org.springframework.web.HttpMediaTypeNotAcceptableException",
 "message": "Could not find acceptable representation",
 "path": "/HDOrg/user/hello/ddf.sh"
}

還是上面的代碼

以下代碼,省略@RestController控制層類代碼

@RequestMapping(value = "hello/{name:.*}")
public Map<String, Object> sayHello(@PathVariable("name") String name, HttpServletRequest request) {
 Map<String, Object> rtnMap = new HashMap<>();
 rtnMap.put("msg", "hello " + name);
 return rtnMap;
}

如果這時候請求地址為hello/ddf.sh或hello/ddf.com.sh,隻要是以.sh結尾,這時候業務邏輯代碼不會受到影響,但走到Spring自己的代碼去處理返回數據的時候,有一個功能會根據擴展名來決定返回的類型,而以.sh結尾擴展名為sh,會被解析成對應的Content-Type: application/x-sh。

解決辦法如下,第一種方法是從網上找到的,可以直接禁用該功能,但有可能會影響到靜態資源的訪問,不能確定,也沒有進行嘗試

@Configuration
public class Config extends WebMvcConfigurerAdapter {
 @Override
 public void configureContentNegotiation(
  ContentNegotiationConfigurer configurer) {
 configurer.favorPathExtension(false);
 }
}

然後以下就是閑著沒事很想換個思路嘗試去看看這到底是怎麼回事,由於個人能力有限,不保證以下內容的重要性;

第二種方式解決思路是,既然擴展名以.sh等結尾會有問題,那麼能不能不要讓程序將擴展名識別為.sh,或者幹脆就跳過處理,比如我是否可以加個.sh/這樣就會影響到實際的擴展名,但是又不會影響到已有的代碼,其實這裡有個偷懶的寫法,可以直接在@RequestMapping裡的value最後直接加一個/,但是這要求客戶端必須在原有的條件上最終拼一個/,否則會找不到對應的映射,直接404,我這裡碰到這個問題的時候,因為該方法已經上線並且被其它幾個系統調用,因此更改起來會有些繁瑣,所以尋求瞭一種麻煩的方式,先將解決方式放在下面,不確定是否會影響其它問題

這種方式解決方式如下:註釋中的兩行代碼二選一都可,推薦前面的寫法,直接已經跳過

@RequestMapping(value = "hello/{name:.*}")
public String sayHello(@PathVariable("name") String name) {
 // 該方法跳過通過上面描述的那種方式來確定MediaType
 request.setAttribute(PathExtensionContentNegotiationStrategy.class.getName() + ".SKIP", true);
 // 後面參數的值前半部分必須和該方法的RequestMapping一致,否則無效,不包括ContextPath
 request.setAttribute(WebUtils.INCLUDE_REQUEST_URI_ATTRIBUTE, "/hello/" + name + "/");
 return "hello " + name;
}

下面依賴源碼來看一下為什麼可以這麼去做,先看一下為什麼會造成這個結果?以下步驟隻關心與當前問題有關的部分,並隻大概關註其中問題,不作細節的深入

經過debug可以看到錯誤是在處理以下過程報錯,首先如下

public class RequestResponseBodyMethodProcessor extends AbstractMessageConverterMethodProcessor {
 @Override
 public void handleReturnValue(Object returnValue, MethodParameter returnType,
  ModelAndViewContainer mavContainer, NativeWebRequest webRequest)
  throws IOException, HttpMediaTypeNotAcceptableException, HttpMessageNotWritableException {
 mavContainer.setRequestHandled(true);
 ServletServerHttpRequest inputMessage = createInputMessage(webRequest);
 ServletServerHttpResponse outputMessage = createOutputMessage(webRequest);
 // Try even with null return value. ResponseBodyAdvice could get involved.
 writeWithMessageConverters(returnValue, returnType, inputMessage, outputMessage);
 }
}

出現這個問題,一般的查找思路就是是否是請求或響應的Content-Type是否出現瞭問題,那麼在上面這個方法上無論是inputMessage還是outputMessage都是正常的,重點來看一下writeWithMessageConverters()方法,該方法,部分代碼如下

public abstract class AbstractMessageConverterMethodProcessor extends AbstractMessageConverterMethodArgumentResolver
 implements HandlerMethodReturnValueHandler {
 @SuppressWarnings("unchecked")
 protected <T> void writeWithMessageConverters(T value, MethodParameter returnType,
       ServletServerHttpRequest inputMessage, ServletServerHttpResponse outputMessage)
 throws IOException, HttpMediaTypeNotAcceptableException, HttpMessageNotWritableException {
 Object outputValue;
 Class<?> valueType;
 Type declaredType;
 if (value instanceof CharSequence) {
  outputValue = value.toString();
  valueType = String.class;
  declaredType = String.class;
 }
 else {
  outputValue = value;
  valueType = getReturnValueType(outputValue, returnType);
  declaredType = getGenericType(returnType);
 }
 HttpServletRequest request = inputMessage.getServletRequest();
 List<MediaType> requestedMediaTypes = getAcceptableMediaTypes(request);
 List<MediaType> producibleMediaTypes = getProducibleMediaTypes(request, valueType, declaredType);
 // 後面處理MediaType的部分在這裡全部省略
 } 
 
 /**
 * Returns the media types that can be produced:
 * <ul>
 * <li>The producible media types specified in the request mappings, or
 * <li>Media types of configured converters that can write the specific return value, or
 * <li>{@link MediaType#ALL}
 * </ul>
 * @since 4.2
 */
 protected List<MediaType> getProducibleMediaTypes(HttpServletRequest request, Class<?> valueClass, Type declaredType) {
 Set<MediaType> mediaTypes = (Set<MediaType>) request.getAttribute(HandlerMapping.PRODUCIBLE_MEDIA_TYPES_ATTRIBUTE);
 if (!CollectionUtils.isEmpty(mediaTypes)) {
  return new ArrayList<MediaType>(mediaTypes);
 }
 else if (!this.allSupportedMediaTypes.isEmpty()) {
  List<MediaType> result = new ArrayList<MediaType>();
  for (HttpMessageConverter<?> converter : this.messageConverters) {
  if (converter instanceof GenericHttpMessageConverter && declaredType != null) {
   if (((GenericHttpMessageConverter<?>) converter).canWrite(declaredType, valueClass, null)) {
   result.addAll(converter.getSupportedMediaTypes());
   }
  }
  else if (converter.canWrite(valueClass, null)) {
   result.addAll(converter.getSupportedMediaTypes());
  }
  }
  return result;
 }
 else {
  return Collections.singletonList(MediaType.ALL);
 }
 }
}

先看方法getAcceptableMediaTypes(),是根據請求來決定當前的HttpServletRequest到底是要請求什麼類型的數據,該方法調用鏈在後面說明;

getProducibleMediaTypes()方法返回可以生成的MediaType,能夠生成哪些是看當前項目一共有多少可以被支持的MediaType,當然也能看到也可以通過HttpServletRequest明確設置屬性HandlerMapping.PRODUCIBLE_MEDIA_TYPES_ATTRIBUTE來確定用哪種方式;

拿到這兩個列表後,需要判斷requestedMediaTypes是否兼容producibleMediaTypes,如*/*則可以兼容所有的可以生成的MediaType,最終將兼容的requestedMediaTypes循環處理,看是否是一個具體的MediaType而不是通配符,那麼最終生效的MediaType就是這個,當然存在多個,則也就存在多個不是通配也滿足條件的,所以再循環前也做瞭一次排序,保證優先級最高的一定會生效。

public abstract class AbstractMessageConverterMethodProcessor extends AbstractMessageConverterMethodArgumentResolver
 implements HandlerMethodReturnValueHandler { 
 private List<MediaType> getAcceptableMediaTypes(HttpServletRequest request) throws HttpMediaTypeNotAcceptableException {
 List<MediaType> mediaTypes = this.contentNegotiationManager.resolveMediaTypes(new ServletWebRequest(request));
 return (mediaTypes.isEmpty() ? Collections.singletonList(MediaType.ALL) : mediaTypes);
 } 
}

MediaType.java

public class MediaType extends MimeType implements Serializable {
 public static final MediaType ALL;
 /**
 * A String equivalent of {@link MediaType#ALL}.
 */
 public static final String ALL_VALUE = "*/*";
 
 // 靜態初始化MediaType.ALL的值省略
}

該方法的結果可以看到如果調用的方法返回瞭一個空的列表,則該方法返回MediaType.ALL的列表,通過代碼可以看到它的值為*/*,該方法往下調用部分代碼如下:

public class ContentNegotiationManager implements ContentNegotiationStrategy, MediaTypeFileExtensionResolver {
 
 @Override
 public List<MediaType> resolveMediaTypes(NativeWebRequest request) throws HttpMediaTypeNotAcceptableException {
 for (ContentNegotiationStrategy strategy : this.strategies) {
  List<MediaType> mediaTypes = strategy.resolveMediaTypes(request);
  if (mediaTypes.isEmpty() || mediaTypes.equals(MEDIA_TYPE_ALL)) {
  continue;
  }
  return mediaTypes;
 }
 return Collections.emptyList();
 }
}

調用如下:

public class WebMvcAutoConfiguration {
 @Override
 public List<MediaType> resolveMediaTypes(NativeWebRequest webRequest)
 throws HttpMediaTypeNotAcceptableException {
 
 private static final String SKIP_ATTRIBUTE = PathExtensionContentNegotiationStrategy.class
  .getName() + ".SKIP";
 
 Object skip = webRequest.getAttribute(SKIP_ATTRIBUTE,
      RequestAttributes.SCOPE_REQUEST);
 if (skip != null && Boolean.parseBoolean(skip.toString())) {
  return Collections.emptyList();
 }
 return this.delegate.resolveMediaTypes(webRequest);
 }
}

在這裡可以看到有一個屬性為skip,如果它的屬性為PathExtensionContentNegotiationStrategy的類全名+”.SKP”並且它的值為true,那麼這裡則不繼續往下處理直接返回空的集合,而在前面也已經看到如果返回的空的集合,實際上最終返回給調用方的是*/*,結合前面看到的

org.springframework.web.servlet.mvc.method.annotation.AbstractMessageConverterMethodProcessor#writeWithMessageConverters(T, org.springframework.core.MethodParameter, org.springframework.http.server.ServletServerHttpRequest, org.springframework.http.server.ServletServerHttpResponse)

這個方法,*/*是可以匹配任何生成的producibleMediaTypes,所以最終結果能夠按照原先應該返回的類型正確返回,而不會被.sh等後綴影響到;

其實最初沒有看到skip的時候,看到瞭一些後面的代碼,最終也解決瞭這個問題,不論正確與否,先把整個過程記錄下來,假如在上面的步驟中沒有設置skip=true,那麼程序繼續下去的部分走向如下

如果uid以.sh結尾的話,在邏輯處理完成之後框架處理return數據的時候,會根據擴展名來決定返回的content-type,sh結尾

會影響返回的content-type為application/x-sh,這會影響該方法的實際功能,解決辦法是:

要麼禁用該功能,要麼修改該方法的@RequestMapping,禁用不能確定是否會對直接訪問的靜態資源有影響,

而且該方法調用方項目已上線,不宜輕易修改,隻能這裡改變這個屬性的地址,影響框架

後面獲取請求的後綴為null,而避免這個問題,但尚不能確認requestUrl和mappingUrl不一致是否會有別的問題

request.setAttribute(WebUtils.INCLUDE_REQUEST_URI_ATTRIBUTE, "/user/" + uid + "/");

以上為個人經驗,希望能給大傢一個參考,也希望大傢多多支持WalkonNet。如有錯誤或未考慮完全的地方,望不吝賜教。

推薦閱讀: