ajax请求和Filter配合案例

最新推荐文章于 2024-01-22 07:00:00 发布
最新推荐文章于 2024-01-22 07:00:00 发布
阅读量4.7k 收藏 47
点赞数 9
分类专栏： Java之路 ________javaEE 文章标签： filter ajax sql注入 数据 java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/strommaybin/article/details/53450252
版权

@ author StormMaybin
@ date 2016-12-03

生命不息，奋斗不止！

案例引入

现在有这样一个问题，就是在提交大片文字评论的时候，前台拿到数据之后给后台发送ajax请求，然后后台有一个防止SQL注入的Filter，这个Filter得到这个前台传过来的数据之后，进行合法性校验，如果没有校验成功，那么要跳转到error.jsp页面进行显示错误信息。现在让我们看看怎么实现这个需求。

思路一：请求转发实现
ajax请求
$.ajax({
            method:'post',
            url:'servlet/DemoServlet',
            dataType:'json',
            data:{
                'userName':userName,
                'passWord':passWord,
                'text': text
            },
            success:function(data){
                //成功之后的逻辑
            },
            error:function(){
                //错误之后的逻辑
            }
        });
防止SQL注入Filter
package com.yiyexiaoyuan.filter;

import java.io.IOException;
import java.util.Enumeration;

import javax.security.auth.message.callback.PrivateKeyCallback.Request;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import net.sf.json.JSONObject;

//过滤sql关键字的Filter 
public class SQLFilter implements Filter
{

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException
    {

        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        // 获得所有请求参数名
        Enumeration params = req.getParameterNames();

        String sql = "";
        while (params.hasMoreElements())
        {
            // 得到参数名
            String name = params.nextElement().toString();
            // System.out.println("name===========================" + name +
            // "--");
            // 得到参数对应值
            String[] value = req.getParameterValues(name);
            for (int i = 0; i < value.length; i++)
            {
                sql = sql + value[i];
            }   
        }
        System.out.println("提交方式:"+req.getMethod());
        System.out.println("被匹配字符串：" + sql);
        if (sqlValidate(sql))
        {
            //请求转发

            req.getRequestDispatcher("error.jsp").
            forward(req, res);          
        }
        else
        {
            String   request_uri   =   req.getRequestURI();  
            chain.doFilter(request, response);
        }
    }

    // 校验
    protected static boolean sqlValidate(String str)
    {
        str = str.toLowerCase();// 统一转为小写
        // String badStr = "and|exec";
        String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|or|like|;|--|+|,|*|/";
        /*
         * String badStr =
         * "'|and|exec|execute|insert|create|drop|table|from|grant|use|group_concat|column_name|"
         * +
         * "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|"
         * + "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";
         */// 过滤掉的sql关键字，可以手动添加
        String[] badStrs = badStr.split("\\|");
        for (int i = 0; i < badStrs.length; i++)
        {
            if (str.indexOf(badStrs[i]) != -1)
            {
                System.out.println("匹配到：" + badStrs[i]);
                return true;
            }
        }
        return false;
    }

    public void init(FilterConfig filterConfig) throws ServletException
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }

    public void destroy()
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }
}
web.xml配置
 <filter>
    <display-name>SQLFilter</display-name>
    <filter-name>SQLFilter</filter-name>
    <filter-class>com.yiyexiaoyuan.filter.SQLFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>SQLFilter</filter-name>
    <url-pattern>/servlet/*</url-pattern>
  </filter-mapping>
  <filter>

分析，ajax请求DemoServlet，然后请求先被防止SQL注入这个Filter过滤器先过滤，然后过滤到的请求参数构成一个匹配字符串，然后检查是否是恶意代码，如果是的话，请求转发。但是很遗憾，逻辑上这个是对的，但是ajax请求是局部刷新的，最后是要回到ajax请求发起的这个页面的，所以请求转发不会实现，我们看下一种实现逻辑。

思路二：返回值进行判断

这个思路的逻辑是这样的：在Filter过滤掉信息的时候，给ajax请求回送一个json数据，然后返回给前台，前台拿这个数据进行判断是否是恶意代码和良好代码。再进行下一步的处理。

ajax请求
$.ajax({
            method:'post',
            url:'servlet/DemoServlet',
            dataType:'json',
            data:{
                'userName':userName,
                'passWord':passWord,
                'text': text
            },
            success:function(data){
                //成功之后的逻辑
                if (data.mssage!=""){
                    //执行处理恶意代码的逻辑
                }
                else{
                }
            },
            error:function(){
                //错误之后的逻辑
            }
        });
防止SQL注入的Filter
package com.yiyexiaoyuan.filter;

import java.io.IOException;
import java.util.Enumeration;

import javax.security.auth.message.callback.PrivateKeyCallback.Request;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import net.sf.json.JSONObject;

//过滤sql关键字的Filter 
public class SQLFilter implements Filter
{

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException
    {

        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        // 获得所有请求参数名
        Enumeration params = req.getParameterNames();

        String sql = "";
        while (params.hasMoreElements())
        {
            // 得到参数名
            String name = params.nextElement().toString();
            // System.out.println("name===========================" + name +
            // "--");
            // 得到参数对应值
            String[] value = req.getParameterValues(name);
            for (int i = 0; i < value.length; i++)
            {
                sql = sql + value[i];
            }   
        }
        System.out.println("提交方式:"+req.getMethod());
        System.out.println("被匹配字符串：" + sql);
        if (sqlValidate(sql))
        {
        //传送json数据
            JSONObject json = new JSONObject();
            json.accumulate("message", "恶意代码注入");
            res.getWriter().print(json.toString());     
        }
        else
        {
            String   request_uri   =   req.getRequestURI();  
            chain.doFilter(request, response);
        }
    }

    // 校验
    protected static boolean sqlValidate(String str)
    {
        str = str.toLowerCase();// 统一转为小写
        // String badStr = "and|exec";
        String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|or|like|;|--|+|,|*|/";
        /*
         * String badStr =
         * "'|and|exec|execute|insert|create|drop|table|from|grant|use|group_concat|column_name|"
         * +
         * "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|"
         * + "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";
         */// 过滤掉的sql关键字，可以手动添加
        String[] badStrs = badStr.split("\\|");
        for (int i = 0; i < badStrs.length; i++)
        {
            if (str.indexOf(badStrs[i]) != -1)
            {
                System.out.println("匹配到：" + badStrs[i]);
                return true;
            }
        }
        return false;
    }

    public void init(FilterConfig filterConfig) throws ServletException
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }

    public void destroy()
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }
}

思路三：异常+跳转实现

这个思路的逻辑是这样的。后台的Filter过滤掉恶意注入代码的话，抛出RuntimeException()，然后导致ajax请求失败，然后回调ajax请求的error方法。但是我们错误页面的数据怎么传送过去呢？经过我认真思考之后，我们可以这样做，在session存一个error_messgae值，然后ajax请求的error方法跳转到错误页面，然后进行取值渲染错误页面。

ajax请求
$.ajax({
            method:'post',
            url:'servlet/DemoServlet',
            dataType:'json',
            data:{
                'userName':userName,
                'passWord':passWord,
                'text': text
            },
            success:function(data){
                //成功之后的逻辑
            },
            error:function(){
                window.location.href="error.jsp";
            }
        });
防止SQL注入Filter
package com.yiyexiaoyuan.filter;

import java.io.IOException;
import java.util.Enumeration;

import javax.security.auth.message.callback.PrivateKeyCallback.Request;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import net.sf.json.JSONObject;

//过滤sql关键字的Filter 
public class SQLFilter implements Filter
{

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException
    {

        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        // 获得所有请求参数名
        Enumeration params = req.getParameterNames();

        String sql = "";
        while (params.hasMoreElements())
        {
            // 得到参数名
            String name = params.nextElement().toString();
            // System.out.println("name===========================" + name +
            // "--");
            // 得到参数对应值
            String[] value = req.getParameterValues(name);
            for (int i = 0; i < value.length; i++)
            {
                sql = sql + value[i];
            }   
        }
        System.out.println("提交方式:"+req.getMethod());
        System.out.println("被匹配字符串：" + sql);
        if (sqlValidate(sql))
        {
            req.getSession().setAttribute("error_message","恶意注入了"); 
            throw new  RuntimeException("恶意注入");
        }
        else
        {
            String   request_uri   =   req.getRequestURI();  
            chain.doFilter(request, response);
        }
    }

    // 校验
    protected static boolean sqlValidate(String str)
    {
        str = str.toLowerCase();// 统一转为小写
        // String badStr = "and|exec";
        String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|or|like|;|--|+|,|*|/";
        /*
         * String badStr =
         * "'|and|exec|execute|insert|create|drop|table|from|grant|use|group_concat|column_name|"
         * +
         * "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|"
         * + "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";
         */// 过滤掉的sql关键字，可以手动添加
        String[] badStrs = badStr.split("\\|");
        for (int i = 0; i < badStrs.length; i++)
        {
            if (str.indexOf(badStrs[i]) != -1)
            {
                System.out.println("匹配到：" + badStrs[i]);
                return true;
            }
        }
        return false;
    }

    public void init(FilterConfig filterConfig) throws ServletException
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }

    public void destroy()
    {
        // throw new UnsupportedOperationException("Not supported yet.");
    }
}
error.jsp实现
<%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%
String path = request.getContextPath();
String basePath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+path+"/";
%>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
  <head>
    <base href="<%=basePath%>">

    <title>错误页面</title>

    <meta http-equiv="pragma" content="no-cache">
    <meta http-equiv="cache-control" content="no-cache">
    <meta http-equiv="expires" content="0">    
    <meta http-equiv="keywords" content="keyword1,keyword2,keyword3">
    <meta http-equiv="description" content="This is my page">
    <!--
    <link rel="stylesheet" type="text/css" href="styles.css">
    -->

  </head>

  <body>

    <center>    
        系统出错了，请稍后再试......
        <br />
        <br />
        <br />
        <br />
        错误信息是: ${ error_message}
    </center>    
  </body>
</html>

这样就很巧妙得实现了Filter拦截并友好提示。

一北
关注
专栏目录
使用过滤器获取ajax请求参数,通过Filter过滤器对请求参数进行处理
weixin_39811478的博客
08-06 1443
遇见的问题：前台把参数通过报文或者使用表单、ajax提交到后台，如果我们的请求参数需要有用户标识，那么我们在前台把用户标识传递过来不安全，而我们在token里存了用户标识，所以需要在过滤器中把用户标识添加进请求参数中。设计方案：使用过滤器，在一个Filter中将 HttpServletRequest 里的所有参数都取出来分别进行过滤然后再放回到该HttpServletRequest 中行不行呢？通...
前端对所有文件请求添加header_ajax请求添加自定义header参数代码
weixin_39815879的博客
12-21 4109
我就废话不多说了，大家还是直接看代码吧~$.ajax({type: "post",url:"http://127.0.0.1:4564/bsky-app/template/testPost",contentType: "application/json;charset=utf-8",data :JSON.stringify({"bodyName":"sdfsdf","date":"2017-11-...
filter 拦截ajax请求
u011927449的博客
01-18 274
1.filter public class SessonFilter implements Filter { private static Logger log = LoggerFactory.get...
拦截ajax请求 filter
qq_37479086的博客
10-17 986
最近写的一个servlet过滤器，用于拦截请求，判断用户是否登录。 写好后发现一个问题，当我直接在浏览器地址栏里输入地址，可以跳转页面；当点击按钮时，过滤器代码正常执行，但是页面没有跳转；是因为按钮都是ajax请求，默认ajax是不支持重定向的，因为ajax本身就是局部刷新，不会重新加载页面的。所以需要在过滤器里再加个ajax请求判断，然后找个前台公共js加一个方法。上代码 拦截器也差不多可以
ajax请求 ,过滤器拦截后返回给ajax请求
TimeShare1的博客
08-06 684
@Component public class FilterDemo extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { .
前台ajax重写方法搭配后台filter返回status实现ajax请求跳转登录页面
ko1197092260的博客
01-25 951
前后端分离之后,原生的jquery的ajax不能实现控制页面跳转,一般会出现状态码302错误,但是可以通过重写ajax增强方法,搭配后台返回状态码错误实现页面跳转.后台的filter核心代码为 HttpServletResponse httpResponse = (HttpServletResponse) response; if(url.equals(context
Ajax请求和Filter配合案例解析
10-20
Ajax请求和Filter配合案例解析： 在Web开发中，Ajax技术被广泛应用于实现异步数据交互，而Filter则是一种用于过滤请求和响应的组件。当两者结合在一起工作时，可以实现诸如防止SQL注入等安全措施。本文将详细介绍一...
IDEA版JavaWeb从入门到精通之JSON和Ajax请求&i18n国际化第16天
06-19
Servlet程序、Filter过滤器、Listener监听器、JSP页面、EL表达式、JSTL标签库、jQuery框架、Cookie技术、Session会话、JSON使用、Ajax请求等全部Web开发核心技术点，并在讲解知识点过程中带领大家完成一个项目案例，...
Filter&Listener&Ajax
Quella_ly的博客
07-17 407
Filter表示过滤器，是JavaWeb三大组件(Servlet、Filter、Listener)之一。Servlet我们之前都已经学习过了，Filter和Listener我们今天都会进行学习。过滤器可以把对资源的请求==拦截==下来，从而实现一些特殊的功能。如下图所示，浏览器可以访问服务器上的所有的资源（servlet、jsp、html等）而在访问到这些资源之前可以使过滤器拦截来下，也就是说在访问资源之前会先经过Filter，如下图拦截器拦截到后可以做什么功能呢？查询所有的超链接。...
实现AJAX登录的过滤操作Filter
Cavewang的博客
02-26 825
实现对Ajax登录的过滤操作
Ajax过滤器
05-23
java做web开发使用Ajax从.jsp页面到Servlet时中文可能乱码。在此提供Ajax过滤器。希望对大家有帮助！！
ajax重写方法搭配后台filter返回status实现ajax请求跳转登录页面
01-25
ajax重写方法搭配后台filter返回status实现ajax请求跳转登录页面
filter ajax处理
java群210698865的专栏
12-06 1550
jsp filter的过滤功能很强大，任何客户端向服务器的请求都能被拦截下来，对于url的请求通常采用httpServletResponse.sendRedirect()方法将请求重定向到新的页面。如果有基于ajax的请求，这种请求重定向的方法就不能使用了，因为返回结果往往包含一小段数据。因此需要在filter中判断客户端的请求方式，并根据不同的请求方式作出不同的处理。     Java代码
Filter和Ajax
DOVISSSS的博客
07-23 302
Filter和Ajax
通过添加filter过滤器 彻底解决ajax 跨域问题
qq_38472451的博客
04-12 101
通过添加filter过滤器 彻底解决ajax 跨域问题
Ajax和Filter过滤器详解【24/01/22】
最新发布
m0_63624484的博客
01-22 393
我们在此之前使用servlet由客户端直接向服务端发送请求数据 ， 每次发送数据都要刷新整个页面 ， 这回导致当我们只需要刷新某个局部数据的时候 ， 连同整个页面都会一起刷新 ， 从而丢失之前的页面数据 ， 而ajax就实现了局部刷新。创建的div只要用于显示服务器返回的数据用户点击按钮时 ， 就触发事件。回调函数得到http返回的内容，把内容写在div上。​ 2.在页面加载后从服务器。实现了局部刷新 ， 不需要更新整个页面。把文本框的数据发送给http请求的目标。ajax的作用是什么？
ajax的简单应用及filter的编写
qq_32004911的博客
09-11 318
ajax的简单运用：function dss(userId,obj){   $.post("test?flag=2",{id:userId},function(data){   if("删除成功"==data){   alert("删除成功");   $(obj).parent().parent().remove();   }   });   } filter:Java中的Fi
ajax跨域实现方案—filter代码实现
King的博客
09-19 110
import javax.servlet.*; import javax.servlet.annotation.WebFilter; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException; @WebFilter(urlPatterns = "/*") public class LoginFilter implements
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值