Sa-Token v1.40.0 发布 [特殊字符]，来看看有没有令你心动的功能！

最新推荐文章于 2025-03-15 11:05:59 发布

shengzhang_

最新推荐文章于 2025-03-15 11:05:59 发布

阅读量783

点赞数 16

本文链接：https://blog.csdn.net/shengzhang_/article/details/145474096

版权

Sa-Token 是一个轻量级 Java 权限认证框架，主要解决：登录认证、权限认证、单点登录、OAuth2.0、微服务网关鉴权 等一系列权限相关问题。🔐

目前最新版本 v1.40.0 已发布至 Maven 中央仓库 🎉，大家可以通过如下方式引入：

<!-- Sa-Token 权限认证 -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.40.0</version>
</dependency>

该版本包含大量 ⛏️️️新增特性、⛏️️️️漏洞修复、⛏️️️代码优化等，下面容我列举几条比较重要的更新内容供大家参阅：

🍪️ 更新点1：新增 Cookie 自定义属性支持

这是来自名为 “@massinger” 的用户创建的 GitHub issue #693 ，
该开发者提出“是否可以为 Cookie 添加 Partitioned 属性，用于支持 iframe 嵌入跨域” 💡。

起初我以为 http 响应头 Cookie 参数只有 domain、path、secure、httpOnly、sameSite 等几个扩展属性😶，
顺着这个 issue，我查阅了一下相关资料，这不查不知道，一查吓一跳 😱。

原来 Cookie 还有这么多我不知道的扩展属性🔍：

Cookie扩展属性

（参考文章：https://blog.csdn.net/fengbin2005/article/details/136544226）

本着“可扩展性”的原则，本次版本更新没有补充这些属性的配置定义，而是直接增加了一个 extraAttrs 字段，你可以借助该字段扩展任意自定义属性✨。

举个例子，如下代码配置：

sa-token: 
    cookie:
        domain: ""
        path: /
        secure: false
        httpOnly: true
        sameSite: Lax
        extraAttrs:
            Priority: Medium
            Partitioned: ""
            abc: def

将会促使 Sa-Token 框架生成以下格式的 Cookie 响应头🍪️：

Set-Cookie: satoken=4d1a2052-29e0-4302-9ecd-ac54dece5fde; Max-Age=2592000; Expires=Tue, 4 Mar 2025 00:49:03 +0800; Path=/; HttpOnly; SameSite=Lax; Priority=Medium; Partitioned; abc=def

🛡️ 更新点2：新增 SaFirewallStrategy 防火墙策略

危险 path 路径符校验是在最早 v1.37.0 就支持的功能，如果前端提交的请求 path 包含 “//、\、%2e、%2f、%5c、%25” 等特殊字符时，Sa-Token 全局过滤器将会截断请求，
返回类似 “非法请求：/test/login//” 的响应提示⚠️。

因为包含这些特殊字符的请求通常被用于路径遍历、请求绕行等网络攻击行为💻⚔️。

本次更新重构了该功能的架构设计，抽离了一个统一的 SaFirewallStrategy “防火墙”组件🧩，目前包含以下能力：

请求 path 黑名单拦截。
非法字符校验。
白名单放行。

该组件在后续版本中还将计划增加ip校验、请求头校验等能力，并尝试引入 hooks 机制，以方便开发者更自由的进行功能扩展 🚀。

🔍 更新点3：新增对分号字符的 path 路径校验，以预防潜在的网络攻击

此功能提案来源于 “船山信安” 公众号的一篇漏洞报告📄：Sa-Token对url过滤不全存在的风险点 🔗

该文章指出了 Sa-Token 对包含 “;” 字符过滤不全存在的风险点⚠️：由于 Sa-Token 与底层 WebMVC 框架对 path 路径匹配的方式存在部分差异，
当前端提交的请求 path 中包含 “;” 字符，将可能导致请求绕过过滤器的权限检测，执行对应的 Controller 方法，从而导致越权问题💥。

目前在最新 v1.40.0 版本中已修复此问题，框架将从最顶层过滤器直接截断 path 中包含“;”字符的请求，避免鉴权被绕过的问题🔒。

感谢“船山信安”团队做出的贡献🙏🌟。