struts2文件下载

文件下载Action

import java.io.File;
import java.io.FileInputStream;
import java.io.InputStream;
import org.apache.struts2.ServletActionContext;
import com.opensymphony.xwork2.ActionSupport;

public class DownloadFileAction extends ActionSupport {
	private static final long serialVersionUID = 1L;
	private static String ROOTDIR = ServletActionContext.getServletContext()
			.getRealPath("/userfiles/");// 项目的根目录下的userfiles文件下,大家可以自己定义

	private String downFileName;
	private InputStream fileInputStream;

	public InputStream getFileInputStream() {// 下载文件的输出流
		return fileInputStream;
	}

	public String execute() throws Exception {
		fileInputStream = new FileInputStream(new File(ROOTDIR, downFileName));
		return SUCCESS;
	}

	public String getDownFileName() {
		return downFileName;
	}

	public void setDownFileName(String downFileName) {
		this.downFileName = downFileName;
	}

}

 

struts.xml

	<include file="struts-default.xml" />
	<!--
		Struts2常量配置 struts.devMode:开发模式,修改配置信息可以不必重新部署服务器
		struts.i18n.encoding:国际化编码
		struts.ognl.allowStaticMethodAccess:允许ognl访问静态方法
		struts.ogjectFactory:将当前Struts2的Action交给Spring管理
	-->
	<constant name="struts.devMode" value="true" />
	<constant name="struts.i18n.encoding" value="UTF-8" />
	<constant name="struts.ognl.allowStaticMethodAccess" value="true" />
	<constant name="struts.objectFactory" value="spring" />
	<constant name="struts.custom.i18n.resources" value="globalMessages" />
	<constant name="struts.action.extension" value="do,action" />
	<!--定义全局变量-->
	<package name="global" namespace="/" extends="struts-default">
		<global-results>
			<result name="login">/login.jsp</result>
			<result name="error">/WEB-INF/error.jsp</result>
		</global-results>
		<!-- 全局返回结果在上,全局异常定义在下,不要弄反了。 -->
		<global-exception-mappings>
			<exception-mapping result="error" exception="Exception"></exception-mapping>
		</global-exception-mappings>
	</package>

	<package name="ajax" namespace="/ajax" extends="global">
		<!-- 下载文件的Action定义,我是用的是SSH,所以downloadBean是取自Spring中 -->
		<action name="download" class="downloadBean">
			<!-- 设置文件名参数,由页面上传入 -->
			<param name="downFileName"></param>
			<result name="success" type="stream">
				<!-- 下载文件类型定义 -->
				<param name="contentType">application/octet-stream</param>
				<!-- 下载文件处理方法 -->
				<param name="contentDisposition">
					attachment;filename="${downFileName}"  
            </param>
				<!-- 下载文件输出流定义 getFileInputStream()-->
				<param name="inputName">fileInputStream</param>
			</result>
		</action>
	</package>

 

访问  ajax/download.do?downFileName=已有的文件名

 

注意jar包要使用最新的。

参考资料

http://johnson2132.iteye.com/blog/720761

http://www.mkyong.com/struts2/struts-2-download-file-example/

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
struts2是一种基于Java的开源框架,用于开发Web应用程序。在早期版本的struts2中存在一个安全漏洞,即struts2 020任意文件下载。这个漏洞允许攻击者下载服务器上的任意文件,可能是敏感信息或者可执行文件。 当一个struts2应用程序被配置为使用动态方法调用(DMI)时,攻击者可以构造一个恶意的URL请求,通过漏洞获取和下载任意文件。攻击者可以通过URL中的特殊字符和参数来伪造请求,并使用已知文件路径的结尾来读取文件内容或执行文件。 为了解决这个漏洞,struts2社区发布了相应的安全补丁。开发者应该及时升级他们的struts2版本,并遵循最佳实践来防止任意文件下载漏洞。 以下是一些防止struts2 020任意文件下载漏洞的措施: 1. 及时更新struts2版本:确保使用的是最新的稳定版本,这样可以最大程度地减少已知漏洞带来的风险。 2. 输入验证和过滤:对用户输入进行验证和过滤,尤其是文件的路径或文件名参数。可以使用安全的文件路径自检函数,如struts2提供的FileUploadInterceptor。 3. 安全配置:在struts.xml配置文件中,禁用动态方法调用(DMI),并限制只允许访问必要的Action方法。 4. 强化访问控制:确保只有授权用户能够访问敏感文件,并在服务器上采取必要的安全措施来限制对文件的访问。 5. 安全审计:定期进行安全审计,查找潜在的漏洞和弱点,并修复它们。 总的来说,struts2 020任意文件下载漏洞是一个严重的安全威胁。为了保护应用程序和服务器的安全,开发者应该及时升级版本,并采取适当的安全措施来防止攻击者利用这个漏洞获取敏感信息或执行恶意文件。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值