Struts2的文件下载

Struts2提供了stream结果类型,该结果类型就是专门用于支持文件下载功能的。指定stream结果类型时,需要指定一个inputName参数,该参数指定了一个输入流,这个输入流是被下载文件的入口。通过Struts2的文件下载支持,允许系统控制浏览者下载文件的权限,包括实现文件名为非西欧字符的文件下载。
实现文件下载的Action
package com.test.action;
import java.io.InputStream;
import java.io.UnsupportedEncodingException;
import org.apache.struts2.ServletActionContext;
import com.opensymphony.xwork2.ActionSupport;
public class FileDownloadAction extends ActionSupport{
	//代表下载文件的资源路径
	private String inputPath;
	//代表下载文件的文件路径
	private String contentType;
	//代表下载文件的文件名
	private String downFileName;
	public String getInputPath() {
		return inputPath;
	}
	public void setInputPath(String inputPath) throws Exception {
		//处理请求参数的解码
		this.inputPath = new String(inputPath.getBytes("iso-8859-1"),"UTF-8");
	}
	public String getContentType() {
		return contentType;
	}
	public void setContentType(String contentType) {
		this.contentType = contentType;
	}
	public String getDownFileName() {
		return downFileName;
	}
	public void setDownFileName(String downFileName) throws Exception {
		this.downFileName = new String(downFileName.getBytes("iso-8859-1"),"UTF-8");
	}
	/*
	 * 定义一个参会InputStream的方法,该方法将作为被下载文件的入口
	 * 且需要配置stream类型结果时指定inputName参数
	 * inputName参数的值就是方法去掉get前缀。首字母小写的字符串
	 */
	public InputStream getTargetFile(){
		//ServletContext提供getResourceAsStream方法
		//返回指定文件对应的输入流
		return ServletActionContext.getServletContext().getResourceAsStream(inputPath);
	}
}
配置Action
配置文件下载的Action需要配置一个类型为stream的结果,该stream类型的结果将使用文件下载作为响应。 配置stream类型的结果需要指定以下4个属性:
1、inputName:指定被下载文件的入口输入流
2、contentType:指定被下载文件的文件类型
3、contentDisposition:指定下载文件的文件名
4、bufferSize:指定下载文件时的缓冲大小
stream结果类型的逻辑视图是返回给客户端的一个输入流,因此无需指定location属性。
注:在配置stream类型的结果时,因为无需指定实际显示的物理资源,所以无需指定location属性,只需要指定inputName属性即可,该属性代表被下载文件的入口。
struts.xml配置
                <!-- 配置处理文件下载的Action -->
		<action name="download" class="com.test.action.FileDownloadAction">
			<!-- 配置类型为stream的结果 -->
			<result name="success" type="stream">
				<!-- 指定下载文件的文件类型 -->
				<param name="contentType">${contentType}</param>
				<!-- 指定由getTargetFile方法返回被下载文件的InputStream -->
				<param name="inputName">targetFile</param>
				<!-- 指定下载文件的文件名 -->
				<param name="contentDisposition">filename="${downFileName}"</param>
				<!-- 指定下载文件的缓冲大小 -->
				<param name="bufferSize">4096</param>
			</result>
		</action>
文件下载视图页面
<body>
  <h3>Struts2的文件下载</h3>
  <a href="upload/图片.zip">下载压缩文件</a>
  </body>
结果展示:





  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
struts2是一种基于Java的开源框架,用于开发Web应用程序。在早期版本的struts2中存在一个安全漏洞,即struts2 020任意文件下载。这个漏洞允许攻击者下载服务器上的任意文件,可能是敏感信息或者可执行文件。 当一个struts2应用程序被配置为使用动态方法调用(DMI)时,攻击者可以构造一个恶意的URL请求,通过漏洞获取和下载任意文件。攻击者可以通过URL中的特殊字符和参数来伪造请求,并使用已知文件路径的结尾来读取文件内容或执行文件。 为了解决这个漏洞,struts2社区发布了相应的安全补丁。开发者应该及时升级他们的struts2版本,并遵循最佳实践来防止任意文件下载漏洞。 以下是一些防止struts2 020任意文件下载漏洞的措施: 1. 及时更新struts2版本:确保使用的是最新的稳定版本,这样可以最大程度地减少已知漏洞带来的风险。 2. 输入验证和过滤:对用户输入进行验证和过滤,尤其是文件的路径或文件名参数。可以使用安全的文件路径自检函数,如struts2提供的FileUploadInterceptor。 3. 安全配置:在struts.xml配置文件中,禁用动态方法调用(DMI),并限制只允许访问必要的Action方法。 4. 强化访问控制:确保只有授权用户能够访问敏感文件,并在服务器上采取必要的安全措施来限制对文件的访问。 5. 安全审计:定期进行安全审计,查找潜在的漏洞和弱点,并修复它们。 总的来说,struts2 020任意文件下载漏洞是一个严重的安全威胁。为了保护应用程序和服务器的安全,开发者应该及时升级版本,并采取适当的安全措施来防止攻击者利用这个漏洞获取敏感信息或执行恶意文件

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值