Java防跨域攻击解决方案

思路： 判断referer里的地址是否和当前的地址一致，如果不一致则说明是跨域攻击的，否则不是

[java] view plain copy print ?

1. /** 
2.  * 验证请求的合法性，防止跨域攻击 
3.  * 
4.  * @param request 
5.  * @return 
6.  */  
7. @SuppressWarnings("rawtypes")  
8. publicstatic boolean validateRequest(HttpServletRequest request) {  
9.     String referer = "";  
10.     booleanreferer_sign = true;// true 站内提交，验证通过 //false 站外提交，验证失败  
11.     Enumeration headerValues = request.getHeaders("referer");  
12.     while(headerValues.hasMoreElements()) {  
13.         referer = (String) headerValues.nextElement();  
14.     }  
15.     // 判断是否存在请求页面  
16.     if(StringUtils.isBlank(referer)) referer_sign = false;  
17.     else{  
18.         // 判断请求页面和getRequestURI是否相同  
19.         String servername_str = request.getServerName();  
20.         if(StringUtils.isNotBlank(servername_str)) {  
21.             intindex = 0;  
22.             if(StringUtils.indexOf(referer, "https://") == 0) {  
23.                 index = 8;  
24.             }  
25.             elseif (StringUtils.indexOf(referer, "http://") == 0) {  
26.                 index = 7;  
27.             }  
28.             if(referer.length() - index < servername_str.length()) {// 长度不够  
29.                 referer_sign = false;  
30.             }  
31.             else{ // 比较字符串（主机名称）是否相同  
32.                 String referer_str = referer.substring(index, index + servername_str.length());  
33.                 if(!servername_str.equalsIgnoreCase(referer_str)) referer_sign = false;  
34.             }  
35.         }  
36.         elsereferer_sign = false;  
37.     }  
38.     returnreferer_sign;  
39. }  

原文地址： http://www.mspring.org/post/241.html

HttpServletRequest对象代表客户端的请求，当客户端通过HTTP协议访问服务器时，HTTP请求头中的所有信息都封装在这个对象中，开发人员通过这个对象的方法，可以获得客户这些信息。
 
request常用方法
获得客户机信息
•getRequestURL方法返回客户端发出请求时的完整URL。
•getRequestURI方法返回请求行中的资源名部分。
•getQueryString 方法返回请求行中的参数部分。
•getRemoteAddr方法返回发出请求的客户机的IP地址
•getRemoteHost方法返回发出请求的客户机的完整主机名
•getRemotePort方法返回客户机所使用的网络端口号
•getLocalAddr方法返回WEB服务器的IP地址。
•getLocalName方法返回WEB服务器的主机名
•getMethod得到客户机请求方式
 
l获得客户机请求头
•getHead(name)方法
•getHeaders(String name)方法
•getHeaderNames方法
获得客户机请求参数(客户端提交的数据)
•getParameter(name):获取指定名称的参数值。这是最为常用的方法之一。
•getParameterValues（String name）:获取指定名称参数的所有值数组。它适用于一个参数名对应多个值的情况。
如页面表单中的复选框，多选列表提交的值。
•getParameterNames():返回一个包含请求消息中的所有参数名的Enumeration对象。通过遍历这个Enumeration对象，
就可以获取请求消息中所有的参数名。
•getParameterMap():返回一个保存了请求消息中的所有参数名和值的Map对象。Map对象的key是字符串类型的参数名，
value是这个参数所对应的Object类型的值数组。
 
 
request常见应用1
各种表单输入项数据的获取
•text、password、radio、checkbox、
•file、select、textarea、 hidden、
•image、button给js编程用
请求参数的中文乱码问题
URL地址的编码
防盗链
 
request常见应用2
request对象实现请求转发：请求转发指一个web资源收到客户端请求后，通知服务器去调用另外一个web资源进行处理。
 
 
请求转发
Servlet API中定义了一个RequestDispatcher接口，俗称请求分派器。它定义了如下两个方法：
•public void forward(ServletRequest request, ServletResponse response)
•public void include(ServletRequest request, ServletResponse response)
获取RequestDispatcher实例的方式主要有两种：
•调用ServletContext接口提供的getRequestDispatcher(String url)方法。
•调用ServletRequest接口提供的getRequestDispatcher(String url)方法。
 
 
RequestDispatcher
 linclude方法：
•RequestDispatcher.include方法用于将RequestDispatcher对象封装的资源内容作为当前响应内容的一部分包含进来，
从而实现可编程的服务器端包含功能。
•被包含的Servlet程序不能改变响应消息的状态码和响应头，如果它里面存在这样的语句，这些语句的执行结果将被忽略。
 
 
请求转发的应用场景：MVC设计模式
MVC设计模式将一次请求的响应过程分成三个功能模块(一般称之为层)来协同完成，这三个模块分别是Model（模型层）、View（视图层）、Controller（控制层）。
Model是可作为JavaBean使用的业务对象；View是负责创建显示界面的JSP页面；Controller通常是一个接收用户请求的Servlet程序，它根据请求创建相应的model对象和调用model对象的业务方法，最后再选择一个View去创建网页文档内容并回送给客户端。
Controller调用RequestDispatcher.forward方法将请求转发给作为View的JSP页面，同时将Model对象作为请求域属性传递过去，作为View的JSP页面再从请求域中检索出Model对象。
 
 
 
请求转发
请求转发的应用场景：MVC设计模式
request对象提供了一个getRequestDispatcher方法，该方法返回一个RequestDispatcher对象，调用这个对象的forward方法可以实现请求转发。
request对象同时也是一个域对象，开发人员通过request对象在实现转发时，把数据通过request对象带给其它web资源处理。
setAttribute方法
getAttribute方法
removeAttribute方法
getAttributeNames方法
 
 
Tip：请求转发的细节
lforward方法用于将请求转发到RequestDispatcher对象封装的资源。
l如果在调用forward方法之前，在Servlet程序中写入的部分内容已经被真正地传送到了客户端，forward方法将抛出IllegalStateException异常。
l如果在调用forward方法之前向Servlet引擎的缓冲区(response)中写入了内容，只要写入到缓冲区中的内容还没有被真正输出到客户端，forward方法就可以被正常执行，原来写入到输出缓冲区中的内容将被清空，但是，已写入到HttpServletResponse对象中的响应头字段信息保持有效。
 
 
Tip：请求转发的运行流程

 

 

 

 

 

 

 

Tip：请求重定向和请求转发的区别
一个web资源收到客户端请求后，通知服务器去调用另外一个web资源进行处理，称之为请求转发。
一个web资源收到客户端请求后，通知浏览器去访问另外一个web资源，称之为请求重定向。
 
lRequestDispatcher.forward方法只能将请求转发给同一个WEB应用中的组件；而HttpServletResponse.sendRedirect 方法还可以重定向到同一个站点上的其他应用程序中的资源，甚至是使用绝对URL重定向到其他站点的资源。
l如果传递给HttpServletResponse.sendRedirect 方法的相对URL以“/”开头，它是相对于整个WEB站点的根目录；如果创建RequestDispatcher对象时指定的相对URL以“/”开头，它是相对于当前WEB应用程序的根目录。
l调用HttpServletResponse.sendRedirect方法重定向的访问过程结束后，浏览器地址栏中显示的URL会发生改变，由初始的URL地址变成重定向的目标URL；调用RequestDispatcher.forward 方法的请求转发过程结束后，浏览器地址栏保持初始的URL地址不变。
lHttpServletResponse.sendRedirect方法对浏览器的请求直接作出响应，响应的结果就是告诉浏览器去重新发出对另外一个URL的访问请求；RequestDispatcher.forward方法在服务器端内部将请求转发给另外一个资源，浏览器只知道发出了请求并得到了响应结果，并不知道在服务器程序内部发生了转发行为。
lRequestDispatcher.forward方法的调用者与被调用者之间共享相同的request对象和response对象，它们属于同一个访问请求和响应过程；而HttpServletResponse.sendRedirect方法调用者与被调用者使用各自的request对象和response对象，它们属于两个独立的访问请求和响应过程。
 
例：
采用MVC设计模式实现一个简单程序：
lUserRegister.html是一个包含有让用户填写注册信息的FORM表单的HTML页面；
lUser.java是一个代表用户注册信息的普通Java类；
lActionServlet.java是一个用于处理FORM表单信息的Servlet程序，它根据表单提交的信息创建一个User类的实例对象，并把这个User实例对象存储到请求域中，然后将请求转发给另外一个用于显示用户注册信息的Servlet程序；
lJspResultServlet.java是一个用于显示用户注册信息的Servlet程序，JspResultServlet从请求域中取出User实例对象，并显示出这个User实例对象的信息。
 
 
  package com.hbsi.domain;
public class User {
private String name;
private String email;
public String getName() {
return name;
}
public void setName(String name) {
this.name = name;
}
public String getEmail() {
return email;
}
public void setEmail(String email) {
this.email = email;
}
}
 
 
package com.hbsi.servlet;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import com.hbsi.domain.User;
public class JsResultServlet extends HttpServlet {
 
public void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
response.setContentType("text/html;charset=UTF-8");
PrintWriter out=response.getWriter();
User user=(User) request.getAttribute("user");
if(user!=null){
out.println("<h1>您的注册信息如下:</h1>");
out.println("用户名:"+user.getName()+"<br/>");
out.println("邮箱:"+user.getEmail()+"<br/>");
}
}
public void doPost(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
doGet(request, response);
}
 
}
 
 
package com.hbsi.servlet;
import java.io.IOException;
import javax.servlet.RequestDispatcher;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import com.hbsi.domain.User;
public class RegisterServlet extends HttpServlet {
 
public void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
request.setCharacterEncoding("UTF-8");
String name=request.getParameter("username");
String email=request.getParameter("email");
User user=new User();
user.setName(name);
user.setEmail(email);
request.setAttribute("user",user);
RequestDispatcher rd=request.getRequestDispatcher("JsResultServlet");
rd.forward(request, response);
}
public void doPost(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
doGet(request, response);
}

}
 

Referer:

public void referer(HttpServletRequest request, HttpServletResponse response)
throws Exception {
String referer = request.getHeader("referer");
if (referer == null || !referer.startsWith("http://localhost")) {
response.sendRedirect("/webTwo/index.jsp");
return;
}
String data = "welcome";
response.getOutputStream().write(data.getBytes());
}

编写URL技巧:
先写'/',给服务器用的就不用写web应用程序名称；给浏览器用的就加上web应用程序名称；

RequestDispatcher:
//请求转发，使用Request域对象把数据带给转发资源；
与重定向的区别：客户端只发出一次请求，服务器端调用多个资源，客户端浏览器地址栏没改变；

获取方式：
ServletContext.getRequestDispatcher(String);
ServletContext.getNamedDispatcher(String);
ServletRequest.getRequestDispatcher(String);
ex:request.getRequestDispatcher("/index.jsp").forward(request, response);

Encoder:乱码处理
request.setCharacterEncoding("UTF-8");//只对Post方式有效
// get方式处理乱码
String value = request.getParameter("username");
String out = new String(value.getBytes("iso8859-1"), "UTF-8");
System.out.println(out);
// 获取请求数据时一般都先检查再使用

获取Header:

// String value = request.getHeader("headername");
// Enumeration headers = request.getHeaders("");
// Enumeration headernames = request.getHeaderNames();