Spring StringUtils下cleanPath方法运行过程

StringUtils工具位于spring-core-5.x.x.jar下org/springframework/util下,其cleanPath方法代码如下:

public static String cleanPath(String path) {
   if (!hasLength(path)) {
      return path;
   }
   String pathToUse = replace(path, WINDOWS_FOLDER_SEPARATOR, FOLDER_SEPARATOR);
   int prefixIndex = pathToUse.indexOf(":");
   String prefix = "";
   if (prefixIndex != -1) {
      prefix = pathToUse.substring(0, prefixIndex + 1);
      if (prefix.contains("/")) {
         prefix = "";
      }
      else {
         pathToUse = pathToUse.substring(prefixIndex + 1);
      }
   }
   if (pathToUse.startsWith(FOLDER_SEPARATOR)) {
      prefix = prefix + FOLDER_SEPARATOR;
      pathToUse = pathToUse.substring(1);
   }

   String[] pathArray = delimitedListToStringArray(pathToUse, FOLDER_SEPARATOR);
   List<String> pathElements = new LinkedList<>();
   int tops = 0;

   for (int i = pathArray.length - 1; i >= 0; i--) {
      String element = pathArray[i];
      if (CURRENT_PATH.equals(element)) {
         // Points to current directory - drop it.
      }
      else if (TOP_PATH.equals(element)) {
         // Registering top path found.
         tops++;
      }
      else {
         if (tops > 0) {
            // Merging path element with element corresponding to top path.
            tops--;
         }
         else {
        
  • 1
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
当调用StringUtils#cleanPath方法时,路径中包含"../"。 这个问题可能是由于路径遍历攻击导致的,攻击者试图通过在路径中添加"../"来访问文件系统的敏感文件。在这种情况下,应该对路径进行安全验证,确保只允许访问允许的文件和目录。 在Spring WebMVC中,会将路径映射到上下文中的资源文件夹,比如META-INF\resources\static。 这样,当我们请求这个路径时,可以找到对应的资源文件。 最终,解析后的文件会通过java classloader.getResource方法在上下文路径中找到。 这个方法可以根据给定的路径查找资源文件,如果存在则返回对应的URL。 综上所述,当调用StringUtils#cleanPath方法时,路径中包含"../"。为了确保安全,应该对路径进行验证,并且通过Spring WebMVC将请求映射到正确的资源文件夹中。最终,可以使用java classloader.getResource方法来获取对应的资源文件。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [spring 警告ResourceHttpRequestHandler : Path contains ..after call to StringUtils#cleanPath](https://blog.csdn.net/hvang1988/article/details/122230143)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值