Spring官宣网传大漏洞，并提供解决方案

《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！

该漏洞的利用需要满足下面的条件：

• JDK 9 +

• 使用Apache Tomcat部署

• 使用WAR方式打包

• 依赖spring-webmvc或spring-webflux

虽然可能国内大部分用户还在用JDK 8、或者采用内置Tomcat的方式运行，但由于该漏洞的特性比较普遍，不排除其他利用方式的存在。所以，DD还是建议在有条件的情况下，尽快升到最新版本来避免可能存在的风险发生。

解决方案

---

因为这次不是网传，而是Spring官宣，所以解决方案已经相对完善和容易了，受影响的用户可以通过下面的方法解决该漏洞的风险：

• Spring 5.3.x用户升级到5.3.18+

• Spring 5.2.x用户升级到5.2.20+

• Spring Boot 2.6.x用户升级到2.6.6+

• Spring Boot 2.5.x用户升级到2.5.12+

对于该漏洞的复习及更多细节，这里因为篇幅有限，就不具体介绍了，感兴趣的小伙伴可以关注公众号程序猿DD，回复“CVE-2022-22965”，获取更深入的解析文档。

然后，这里需要特别再提一下，之前已经收到消息并有所行动的小伙伴，没猜错的话应该都是用下面的解决方案来处理的吧？

@ControllerAdvice

@Order(Ordered.LOWEST_PRECEDENCE)

public class BinderControllerAdvice {

@InitBinder

public void setAllowedFields(WebDataBinder dataBinder) {

String[] denylist = new String[]{“class.", "Class.”, “.class.”, “.Class.”};

dataBinder.setDisallowedFields(denylist);

}

}

这个方法DD在微信群里（点击加群）也看到蛮多次了。这次Spring官方推文里，证实了该方法是有效的，但可能会留下一些其他隐患，特别是当Controller通过其自己的@InitBinder方法在本地设置disalloedFields时，该方法会覆盖全局设置。

为了以更安全的方式应用解决方案，应用程序可以扩展RequestMappingHandlerAdapter，以便在所有其他初始化结束后更新WebDataBinder。官方给出了更好的解决方案，比如下面这样：

@SpringBootApplication

public class MyApp {

public static void main(String[] args) {

SpringApplication.run(CarApp.class, args);

}

@Bean

public WebMvcRegistrations mvcRegistrations() {

return new WebMvcRegistrations() {

@Override

public RequestMappingHandlerAdapter getRequestMappingHandlerAdapter() {

return new ExtendedRequestMappingHandlerAdapter();

}

};

}

private static class ExtendedRequestMappingHandlerAdapter extends RequestMappingHandlerAdapter {

@Override

protected InitBinderDataBinderFactory createDataBinderFactory(List methods) {

return new ServletRequestDataBinderFactory(methods, getWebBindingInitializer()) {

@Override

protected ServletRequestDataBinder createBinderInstance(

Object target, String name, NativeWebRequest request) throws Exception {

ServletRequestDataBinder binder = super.createBinderInstance(target, name, request);

String[] fields = binder.getDisallowedFields();

List fieldList = new ArrayList<>(fields != null ? Arrays.asList(fields) : Collections.emptyList());

fieldList.addAll(Arrays.asList(“class.", "Class.”, “.class.”, “.Class.”));

最后

这份《“java高分面试指南”-25分类227页1000+题50w+字解析》同样可分享给有需要的朋友，感兴趣的伙伴们可挑战一下自我，在不看答案解析的情况，测试测试自己的解题水平，这样也能达到事半功倍的效果！（好东西要大家一起看才香）

《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！
-1714676370542)]

[外链图片转存中…(img-ble6YkIw-1714676370542)]

《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！