downLoad设计针对防止使用软件猜测下载用户所用资源

目的：防止下载时候用户根据下载路径猜测文件目录结构下载资源

 

一般下载设计分为2种 1）通过直接链接文件系统来访问文件系统（坏处是可以根据文件结构猜测文件名的不同盗载 如：下载链接是XXXX/FILE1 下载者可以通过更改FILE1名字来用下载软件下载）

                               2）另一种方式是通过web后台以流方式读取文件系统里的文件然后把流传给前台，这样的坏处的消耗较大，并且读了2次。

 

我们的设计是：通过Filter 和 Action来通过文件系统下载，但是脱离了我们网页把文件链接放到下载工具里面会下载失败。

 

方式：通过链接ACTION?ID=XX 来在ACTION中进行用户身份验证并且把图片的名字或ID存在Session中，这个ACTION 在Struts.xml中配置redirect到一个URL，这个URL应该符合filter拦截的条件，在filter中把存在Session中的名字或者ID取出来并且清空Session（为了防止第一次通过Action下载时候带有SessionID，不能让别人使用这个SessionId）最后使用forward到session中取出来的name的路径，就是在web中存在的地址。

 

事例代码：

Filter：public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws IOException, ServletException { HttpServletRequest httpRequest = (HttpServletRequest)request; HttpServletResponse httpResponse = (HttpServletResponse) response; String path = (String)httpRequest.getSession().getAttribute("sid"); httpRequest.getRequestDispatcher(path).forward(httpRequest, httpResponse); }

 

 

Struts：

<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE struts PUBLIC "-//Apache Software Foundation//DTD Struts Configuration 2.0//EN" "http://struts.apache.org/dtds/struts-2.0.dtd"> <struts> <package name="downLoad" extends="struts-default"> <action name="downLoadProxy" method="proxy" class="com.downLoad.DownLoadProxy"> <result name="success" type="redirect">resource/${sourcePath}</result> </action> </package> </struts>

 

Action

private static final long serialVersionUID = 1L; private String fileName; private String postfix; private String sourcePath; private String sid; public String proxy(){ fileName = "yeren"; postfix = "jpg"; sourcePath = fileName+"."+postfix; HttpServletRequest request = ServletActionContext.getRequest(); // HttpServletResponse response = ServletActionContext.getResponse(); // response.setHeader(fileName, fileName); // response.setHeader(postfix, postfix); request.getSession().setAttribute("sid", sourcePath); return SUCCESS; }

 

 

 

对于Filter的深入理解，一个完整的FIlter在filter方法里面应该包括filterChain.doFilter(httpRequest, httpResponse);而我们如果不加这句话，那么这个filter就变成了一个拦截器（一般拦截器是在AOP中，这里我帮他取个我个人认为比较合适的名字），本例子中就是通过

缺少filterChain.doFilter方法，通过拦截到这个url在用forward请求响应资源，如果不用httpRequest.getRequestDispatcher(path).forward(httpRequest, httpResponse);所有资源就被拦截掉了。