Java SpringBoot项目限制PUT、DELETE、TRACE、OPTIONS、PATCH等危险的方法的访问

汤圆不扁

已于 2024-05-28 19:45:00 修改

阅读量849

点赞数 3

分类专栏：程序员修复器文章标签： java spring boot servlet

于 2024-05-28 19:44:41 首次发布

本文链接：https://blog.csdn.net/mekings13/article/details/139276094

版权

程序员修复器专栏收录该内容

4 篇文章 0 订阅

订阅专栏

在项目运行过程中，会遇到客户拿项目去进行漏洞检测的情况，检测第三方大部分会提出这个问题，将除了get post其他的请求方式全部屏蔽，本篇文章将讲一下如何屏蔽

SpringBoot项目中可以使用filter过滤器来拦截请求

书写一个 HttpMethodFilter 过滤器

@Order(0)
@WebFilter(filterName="methodFilter", urlPatterns="/*")
public class HttpMethodFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 过滤器初始化
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;

        // 检查请求方法是否为POST或GET
        if ("POST".equalsIgnoreCase(httpRequest.getMethod()) || "GET".equalsIgnoreCase(httpRequest.getMethod())) {
            // 如果是POST或GET，则继续链路
            chain.doFilter(request, response);
        } else {
            // 如果不是，则返回错误状态码
            httpResponse.setStatus(HttpServletResponse.SC_METHOD_NOT_ALLOWED);
        }
    }

    @Override
    public void destroy() {
        // 过滤器销毁
    }
}

将过滤器注入

@Configuration
public class CustomFilterConfig {

    @Bean
    public FilterRegistrationBean<HttpMethodFilter> httpMethodFilterFilterRegistrationBean(){
        FilterRegistrationBean<HttpMethodFilter> registrationBean = new FilterRegistrationBean<HttpMethodFilter>();
        registrationBean.setFilter(new HttpMethodFilter());
        // 配置过滤的 URL
        registrationBean.addUrlPatterns("/*");
        return registrationBean;
    }

}