关于S2-045漏洞struts版本升级注意事项

我不怎么用struts的，弄了一天多时间，终于找到了解决办法，分享只是为了方便别人节约时间，底层套路我不了解，不喜勿喷。

另：此文是网上多处找到的资料做的总结

更新步骤：

1.替换包：将原jar包里的包与 struts-2.5.10-1 对照（原有的低版本换成高版本）

jar包可以去官网下载，下载方法百度经验里有

2.添加包：log4j-api-2.7.jar
3.删除包：xwork-core-2.3.15.1.jar(此包已集成到了struts2-core-2.5.10.1里面了)


4.修改web.xml文件：--不改启动报错，找不到类
filter-class中将
org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter
换成
       org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter
（新版本的此类的路径不同了）


5.修改struts.xml：
5.1 将 --不改后果<package>中添加global-allowed-methods会报错
<!DOCTYPE struts PUBLIC
    "-//Apache Software Foundation//DTD Struts Configuration 2.0//EN"
    "http://struts.apache.org/dtds/struts-2.0.dtd">
换成
<!DOCTYPE struts PUBLIC 
"-//Apache Software Foundation//DTD Struts Configuration 2.5//EN"
"http://struts.apache.org/dtds/struts-2.5.dtd"> 


5.2 在<package>标签中添加
<global-allowed-methods>regex:.*</global-allowed-methods>
----不添加的话页面找不到action
注意：<package>标签里的内容必须按照以下顺序：
result-types?,
interceptors?,
default-interceptor-ref?,
default-action-ref?,
default-class-ref?,
global-results?,
global-exception-mappings?,
action*
global-allowed-methods放在global-exception-mappings前面，也有可能要放在global-results前面,因为我的没有这项目配置没做实验
6.struts.properties中添加：
struts.enable.DynamicMethodInvocation=true
struts.convention.action.mapallmatches=true
--这2个属性是升级后struts框架对页面提交的请求路径字符串进行分割，如不设置将会分割错误，导致找不到action