【SpringBoot】通过Filter实现整个项目接口的SQL注入拦截

最新推荐文章于 2024-07-13 15:36:01 发布
最新推荐文章于 2024-07-13 15:36:01 发布
阅读量1.5k 收藏 3
点赞数
分类专栏： 业务场景 过滤器 sql注入 文章标签： spring boot sql servlet
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_48424581/article/details/126838290
版权

业务背景：一般情况下，我们的项目是需要做SQL注入、XSS拦截等安全性问题，本来是打算在网关层面做全局过滤器或者自定义过滤器，但是苦于遇到依赖问题等实在短期内无法解决，于是便在其下一层针对某个项目做SQL注入拦截。

一、直接上源码

1.启动类路径下，直接建一个filter包，

过滤器SqlInjectFilter

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;
import com.bc.base.log.BaseLog;
import com.bc.digitalmanage.entity.common.ResultMsg;
import org.apache.commons.lang3.StringUtils;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpStatus;

import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.net.URLDecoder;
import java.util.*;

/**
 * @author w7h1te-ywq
 * @version 9月...
 * @date 2022/9/13 16:00
 */

@WebFilter(urlPatterns = "/",filterName = "SqlInjectionFilter")
@Configuration
public class SqlInjectionFilter implements Filter {
    private static BaseLog log = BaseLog.getInstance(SqlInjectionFilter.class.getName());

    private static final Set<String> ALLOWED_PATHS = Collections.unmodifiableSet(new HashSet<>(
            Arrays.asList("")));

    private static final String SQL_REG_EXP = ".*(\\b(select|insert|into|update|delete|from|where|trancate" +
            "|drop|execute|grant|use|union)\\b).*";

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        CustomRequestWrapper requestWrapper = new CustomRequestWrapper(request);
        Map<String, Object> parameterMap = new HashMap<>();
        String path = request.getRequestURI().substring(request.getContextPath().length()).replaceAll("[/]+$", "");
        boolean allowedPath = ALLOWED_PATHS.contains(path);
        if (!allowedPath) {
            parameterMap = getParameterMap(parameterMap, request, requestWrapper);
            // 正则校验是否有SQL关键字
            for (Object obj : parameterMap.entrySet()) {
                Map.Entry entry = (Map.Entry) obj;
                Object value = entry.getValue();
                if (value != null) {
                    boolean isValid = isSqlInject(value.toString(), servletResponse);
                    if (!isValid) {
                        return;
                    }
                }
            }
        }
        filterChain.doFilter(requestWrapper, servletResponse);
    }

    private Map<String, Object> getParameterMap(Map<String, Object> paramMap, HttpServletRequest request, CustomRequestWrapper requestWrapper) {
        // 1.POST请求获取参数
        if ("POST".equals(request.getMethod().toUpperCase())) {
            String body = requestWrapper.getBody();
            if(StringUtils.isNotEmpty(body)){
                boolean jsonType = getJSONType(body);
                if(jsonType==true){
                    paramMap = JSONObject.parseObject(body, HashMap.class);
                }else {
                    String[] split = body.split("&");
                    for (int i = 0; i < split.length; i++) {
                        String[] split1;
                        split1 = split[i].split("=");
                        paramMap.put(split1[0],split1[1]);
                        split1 = null;
                    }
                }
            }else {
                Map<String, String[]> parameterMap = requestWrapper.getParameterMap();
                if (parameterMap != null && parameterMap.size() > 0) {
                    Set<Map.Entry<String, String[]>> entries = parameterMap.entrySet();
                    for (Map.Entry<String, String[]> next : entries) {
                        paramMap.put(next.getKey(), next.getValue()[0]);
                    }
                }
            }
        } else {
            Map<String, String[]> parameterMap = requestWrapper.getParameterMap();
            //普通的GET请求
            if (parameterMap != null && parameterMap.size() > 0) {
                Set<Map.Entry<String, String[]>> entries = parameterMap.entrySet();
                for (Map.Entry<String, String[]> next : entries) {
                    paramMap.put(next.getKey(), next.getValue()[0]);
                }
            } else {
                //GET请求,参数在URL路径型式,比如server/{var1}/{var2}
                String afterDecodeUrl = null;
                try {
                    //编码过URL需解码解码还原字符
                    afterDecodeUrl = URLDecoder.decode(request.getRequestURI(), "UTF-8");
                } catch (UnsupportedEncodingException e) {
                    e.printStackTrace();
                }
                paramMap.put("pathVar", afterDecodeUrl);
            }
        }
        return paramMap;
    }
    private boolean isSqlInject(String value, ServletResponse servletResponse) throws IOException {
        ResultMsg<Object> resultMsg = new ResultMsg<>();
        if (null != value && value.toLowerCase().matches(SQL_REG_EXP)) {
            log.info(" SqlInjectionFilter isSqlInject ：入参中有非法字符: " + value);
            HttpServletResponse response = (HttpServletResponse) servletResponse;
//            Map<String, String> responseMap = new HashMap<>();
            // 匹配到非法字符,立即返回
//            responseMap.put("code", "999");
//            responseMap.put("message","入参中有非法字符");
            resultMsg.setResultMsg("输入数据中存在非法字符！");
            resultMsg.setSuccess(false);
            resultMsg.setResultCode("999");
            resultMsg.setData("入参中有非法字符————SQL注入拦截！！！");
            response.setContentType("application/json;charset=UTF-8");
            response.setStatus(HttpStatus.OK.value());
            response.getWriter().write(JSON.toJSONString(resultMsg));
            response.getWriter().flush();
            response.getWriter().close();
            return false;
        }
        return true;
    }

    private boolean getJSONType(String str){
        boolean result = false;
        if (StringUtils.isNotBlank(str)) {
            str = str.trim();
            if (str.startsWith("{") && str.endsWith("}")) {
                result = true;
            } else if (str.startsWith("[") && str.endsWith("]")) {
                result = true;
            }
        }
        return result;
    }

    @Override
    public void destroy() {

    }
}

设置请求装饰类CustomRequestWrapper


import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.*;
import java.nio.charset.StandardCharsets;
import java.util.Enumeration;
import java.util.Map;

/**
 * @author w7h1te-ywq
 * @version 9月...
 * @date 2022/9/13 16:01
 */
public class CustomRequestWrapper extends HttpServletRequestWrapper {
    private final String body;
    public CustomRequestWrapper(HttpServletRequest request) throws IOException {
        super(request);
        StringBuilder sb = new StringBuilder();
        BufferedReader bufferedReader = null;
        try {
            InputStream inputStream = request.getInputStream();
            if (inputStream != null) {
                bufferedReader = new BufferedReader(new InputStreamReader(inputStream, StandardCharsets.UTF_8));
                char[] charBuffer = new char[512];
                int bytesRead = -1;
                while ((bytesRead = bufferedReader.read(charBuffer)) > 0) {
                    sb.append(charBuffer, 0, bytesRead);
                }
            } else {
                sb.append("");
            }
        } catch (IOException e) {
            e.printStackTrace();
            throw e;
        } finally {
            if (bufferedReader != null) {
                try {
                    bufferedReader.close();
                } catch (IOException e) {
                    e.printStackTrace();
                    throw e;
                }
            }
        }
        body = sb.toString();
    }
    @Override
    public ServletInputStream getInputStream() throws IOException {
        final ByteArrayInputStream bais = new ByteArrayInputStream(body.getBytes("UTF-8"));
        return new ServletInputStream() {
            @Override
            public boolean isFinished() {
                return false;
            }
            @Override
            public boolean isReady() {
                return false;
            }
            @Override
            public void setReadListener(ReadListener readListener) {
            }
            @Override
            public int read() {
                return bais.read();
            }
        };
    }
    @Override
    public BufferedReader getReader() throws IOException {
        return new BufferedReader(new InputStreamReader(this.getInputStream(), StandardCharsets.UTF_8));
    }
    public String getBody() {
        return this.body;
    }
    @Override
    public String getParameter(String name) {
        return super.getParameter(name);
    }
    @Override
    public Map<String, String[]> getParameterMap() {
        return super.getParameterMap();
    }
    @Override
    public Enumeration<String> getParameterNames() {
        return super.getParameterNames();
    }
    @Override
    public String[] getParameterValues(String name) {
        return super.getParameterValues(name);
    }
}

以bean注解来诠释次配置文件相关代码FilterConfiguration


import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.*;
import java.nio.charset.StandardCharsets;
import java.util.Enumeration;
import java.util.Map;

/**
 * @author w7h1te-ywq
 * @version 9月...
 * @date 2022/9/13 16:01
 */
public class CustomRequestWrapper extends HttpServletRequestWrapper {
    private final String body;
    public CustomRequestWrapper(HttpServletRequest request) throws IOException {
        super(request);
        StringBuilder sb = new StringBuilder();
        BufferedReader bufferedReader = null;
        try {
            InputStream inputStream = request.getInputStream();
            if (inputStream != null) {
                bufferedReader = new BufferedReader(new InputStreamReader(inputStream, StandardCharsets.UTF_8));
                char[] charBuffer = new char[512];
                int bytesRead = -1;
                while ((bytesRead = bufferedReader.read(charBuffer)) > 0) {
                    sb.append(charBuffer, 0, bytesRead);
                }
            } else {
                sb.append("");
            }
        } catch (IOException e) {
            e.printStackTrace();
            throw e;
        } finally {
            if (bufferedReader != null) {
                try {
                    bufferedReader.close();
                } catch (IOException e) {
                    e.printStackTrace();
                    throw e;
                }
            }
        }
        body = sb.toString();
    }
    @Override
    public ServletInputStream getInputStream() throws IOException {
        final ByteArrayInputStream bais = new ByteArrayInputStream(body.getBytes("UTF-8"));
        return new ServletInputStream() {
            @Override
            public boolean isFinished() {
                return false;
            }
            @Override
            public boolean isReady() {
                return false;
            }
            @Override
            public void setReadListener(ReadListener readListener) {
            }
            @Override
            public int read() {
                return bais.read();
            }
        };
    }
    @Override
    public BufferedReader getReader() throws IOException {
        return new BufferedReader(new InputStreamReader(this.getInputStream(), StandardCharsets.UTF_8));
    }
    public String getBody() {
        return this.body;
    }
    @Override
    public String getParameter(String name) {
        return super.getParameter(name);
    }
    @Override
    public Map<String, String[]> getParameterMap() {
        return super.getParameterMap();
    }
    @Override
    public Enumeration<String> getParameterNames() {
        return super.getParameterNames();
    }
    @Override
    public String[] getParameterValues(String name) {
        return super.getParameterValues(name);
    }
}

二、在springboot启动类上添加注解声明过滤器

@ServletComponentScan(basePackages = “com.bc.***.filter”)

三、参考链接

springboot自带filter实现sql防注入过滤器，可以全路径也可以自己设置过滤路径，还可以在全路径的时候选择放行某些路径不过滤。

springboot里编写filter过滤器，urlPatterns属性失败的解决方法

w7h1te
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
springboot自带filter实现sql防注入过滤器，可以全路径也可以自己设置过滤路径，还可以在全路径的时候选择放行某些路径不过滤。
qimingzhennan_to的博客
08-15 2817
springboot自带filter实现sql防注入过滤器，可以全路径也可以自己设置过滤路径，还可以在全路径的时候选择放行某些路径不过滤。
简单的防止SQL注入的java方法
Mr.薛的博客
11-05 5675
public class SQLFilter { /** * SQL注入过滤 * @param str 待验证的字符串 */ public static String sqlInject(String str){ if(StringUtils.isBlank(str)){ return null; ...
Mybatis防止SQL注入
最新发布
Jc0803kevin的专栏
07-13 1066
防止SQL注入的中心思想就是参数化查询，将输入当作参数传递，而不是直接拼接到 SQL 语句中。常见的防止SQL注入的方式1、#{}2、3、[配置 SQL 注入过滤器](#配置 SQL 注入过滤器)
java springboot sql防注入的6种方式
qq_34874784的博客
08-24 4453
4. 使用ORM框架中提供的查询构造器（Query Builder）：ORM框架通常提供查询构造器或查询构造API，这些API可以帮助我们构建数据库查询语句，而无需手动编写SQL语句。1. 参数绑定：通过使用参数绑定，将用户输入的数据作为参数传递给SQL语句，而不是将其直接拼接到SQL语句中。6. 使用安全的编码方式：在将用户输入插入到SQL语句中时，确保使用合适的编码方式进行转义，例如使用转义函数或参数化查询。5. 输入验证和过滤：对于用户输入的数据，应该进行验证和过滤，确保其符合预期的格式和类型。
SpringBoot整合XssFilter，Jsoup等实现请求参数的过滤，处理Xss攻击及sql注入.zip
02-09
原理过程 Springboot中会使用FilterRegistrationBean来注册Filter，Filter是Servlet规范里面的，属于容器范围，Springboot中没有web.xml，那Springboot中，不用管Filter是如何交给Ser...SpringBoot整合XssFilter，Jsoup等实现请求参数的过滤，处理Xss攻击及sql注入.zip
springboot应用sql注入拦截处理
liaomingwu的专栏
03-11 4639
springboot应用sql注入拦截处理
Spring Boot 定义拦截器，拦截所有执行的sql
u011546032的博客
07-09 8515
Spring Boot 定义拦截器，拦截所有执行的sql 文章目录Spring Boot 定义拦截器，拦截所有执行的sql代码实现一些说明 代码实现 import com.alibaba.fastjson.JSONObject; import org.apache.ibatis.executor.statement.StatementHandler; import org.apache.ibat...
SpringBoot项目防止Sql注入拦截器
qq_29991719的博客
12-08 1607
防止Sql注入拦截器
springboot防止XSS攻击和sql注入
02-22 1921
springboot防止XSS攻击和sql注入
SpringBoot 拦截过滤 Filter
09-27 419
1.通过扫描注解完成Filter组件注册 创建一个类，实现Filter接口,实现doFilter()方法 在该类使用注解@WebFilter，设置filterName与urlPatterns 在doFilter中编写代码 编写启动类：增加注解@ServletComponentScan /** * SpringBoot整合Filter 方式一 项目 www.fhadmin.org */ //@WebFilter(filterName="Fi
预防XSS攻击和SQL注入XssFilter
05-19
一、什么是XSS攻击 XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。...攻击者利用XSS漏洞旁路... XssFilter com.xxx.Filter.XssFilter XssFilter /*
防sql注入和xss攻击， springmv拦截器
07-24
防sql注入和xss攻击， springmv拦截器，可自由调整需要拦截的字符
Springboot如何使用mybatis实现拦截SQL分页
08-19
主要介绍了Springboot使用mybatis实现拦截SQL分页,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
防止SQL注入和XSS攻击Filter
06-03
防止SQL注入和XSS攻击Filter
java 过滤器filter防sql注入的实现代码
09-01
下面小编就为大家带来一篇java 过滤器filter防sql注入的实现代码。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
SpringBoot整合MybatisSQL过滤@Intercepts的实现
08-19
主要介绍了SpringBoot整合MybatisSQL过滤@Intercepts的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
Spring Cloud Gateway 实现XSS、SQL注入拦截
BUG指挥课堂
04-06 4529
创建Filter 实现GlobalFilter, Ordered @Slf4j @Component public class SqLinjectionFilter implements GlobalFilter, Ordered { @SneakyThrows @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain){ // grab config
主要使用Filter针对Xss攻击，sql注入，服务器访问白名单，以及csrf进行安全校验
07-18
1，主要实现的是三大块功能：Xss攻击，sql注入，服务器白名单，以及csrf 2，此Filter为真实项目部署，在XssHttpServletRequestWrapper.java文件中的cleanSqlKeyWords方法为具体的Xss拦截逻辑，可根根据自己的需要...
SpringBoot整合XssFilter，Jsoup等实现请求参数的过滤，处理Xss攻击及sql注入
阿啄debugIT
02-09 2138
前言 SpringBoot整合XssFilter，Jsoup等实现请求参数的过滤，处理Xss攻击及sql注入，以下是涉及的主要类： 原理过程 Springboot中会使用FilterRegistrationBean来注册Filter，Filter是Servlet规范里面的，属于容器范围，Springboot中没有web.xml，那Springboot中，不用管Filter是如何交给Ser...
防sql注入 通过filter拦截器实现
06-13
在 Java Web 应用中，可以通过 Filter 拦截器来实现防止 SQL 注入攻击。Filter 是 Servlet 规范中的一种组件，用于对请求和响应进行过滤和处理。 具体实现步骤如下： 1. 创建一个 Filter 类，并实现 Filter 接口。 2. 在 doFilter 方法中，获取请求中的参数，并对参数进行过滤和转义，以避免 SQL 注入攻击。 3. 在 web.xml 文件中配置 Filter，指定要过滤的 URL 和 Filter 类。 以下是一个简单的 Filter 实现代码示例： ``` public class SqlFilter implements Filter { @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request; Map<String, String[]> parameterMap = req.getParameterMap(); for(String key: parameterMap.keySet()) { String[] values = parameterMap.get(key); for(String value: values) { // 进行过滤和转义 value = filter(value); } } chain.doFilter(request, response); } private String filter(String value) { // 进行过滤和转义操作 // ... return value; } // 其他方法省略 } ``` 在 web.xml 文件中，可以将 Filter 配置为拦截所有请求： ``` <filter> <filter-name>SqlFilter</filter-name> <filter-class>com.example.SqlFilter</filter-class> </filter> <filter-mapping> <filter-name>SqlFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` 这样，所有请求都会经过 SqlFilter 过滤器，对请求中的参数进行过滤和转义，从而避免 SQL 注入攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值