struts2版本升级

为什么80%的码农都做不了架构师？>>>   

（2.3.16.3升级到2.3.20）

版本改进：

Ø         合并后的安全修补程序版本中，2.3.16.1、 2.3.16.2、 2.3.16.3

Ø         扩展现有的安全机制来阻止访问给定的 Java 包和类

Ø         RedirectResult 参数集合

Ø         在默认情况下,使 ParametersInterceptor 支持中文哈希键

Ø         themes.properties可以使用加载  ServletContext 允许放在 WEB-INF 下或在类路径中的模板文件夹

Ø         新标记 datetextfield

Ø         只有缓存有效的 Ognl 表达式

Ø         自定义 TextProvider 可用于验证错误的模型驱动的行动

Ø         datetimepicker 的标签固定

Ø         PropertiesJudge 删除和属性已签入 SecurityMemberAccess

Ø         在 IBM JVM 资源重新加载工作

Ø         默认加载设置已被删除从 default.properties

Ø         commons-fileupload.jar升级到版本 1.3.1 要修复潜在的安全漏洞

Ø         <s:url> 标记组合属性可以使用表达式

Ø         解决 FastByteArrayOutputStream 中的无限循环问题

Ø         LocalizedTextUtil 支持很多的类加载器

Ø         介绍了条例草案的材料 pom

Ø         debug = browser|console 被迁移到 jQuery

Ø         struts_dojo.js 被固定的

Ø         新增接口 org/apache/struts2/views/TagLibray，并且标记为 @Depreacted

Struts.xml :

Struts 2.3.20 配置文件新增加了参数为struts.excludedClasses,此参数为了严格验证排除一些不安全的对象类型。

<constant name="struts.excludedClasses"

              value="

                java.lang.Object,

                java.lang.Runtime,

                java.lang.System,

                java.lang.Class,

                java.lang.ClassLoader,

                java.lang.Shutdown,

                ognl.OgnlContext,

                ognl.MemberAccess,

                ognl.ClassResolver,

                ognl.TypeConverter,

                com.opensymphony.xwork2.ActionContext" />

 

<constant name="struts.excludedPackageNamePatterns"

value="^java\.lang\..*,^ognl.*,^javax.*" />

 

“java.lang.Classs”值过滤struts标签中静态方法调用

升级注意事项：

替换jar包：

l         xwork-core-2.3.20.jar

l         struts2-json-plugin-2.3.20.jar

l         struts2-core-2.3.20.jar

l         commons-lang3-3.2.jar

l         freemarker-2.3.19.jar

 

项目struts.xml文件添加

<constant name="struts.excludedClasses"

              value="

                java.lang.Object,

                java.lang.Runtime,

                java.lang.System,

                java.lang.ClassLoader,

                java.lang.Shutdown,

                ognl.OgnlContext,

                ognl.MemberAccess,

                ognl.ClassResolver,

                ognl.TypeConverter,

                com.opensymphony.xwork2.ActionContext" />

转载于:https://my.oschina.net/zjds/blog/364769