代码审计-Spring框架安全_spring代码审计

Spring框架安全

作者:t4reega

1.1. Spring简介

Spring是目前Java应用最广泛的框架之一，是拥有着IoC和AOP的优秀机制的容器框架。

而Spring MVC，则是Spring提供给Web开发的框架设计。

1.2. Spring MVC实现逻辑

Spring MVC中，所有的请求都有DispatcherServlet来统一处理、分发。然后借助HandlerMapping定位到处理请求的控制器(Controller)。

Controller处理完成用户请求后，返回ModelAndView对象给DispatcherServlet。

逻辑实现图如下:

这个图想必比较直观了，从宏观角度来说，DispatcherServlet是整个Web的控制器，从微观角度来说，Controller是每次请求的控制器。

下面将从创建一个Spring MVC开始，熟悉Spring MVC的项目结构和代码逻辑。

1.3. Spring MVC项目

使用IDEA NEW一个Spring项目

并勾选 "Spring MVC"、"Web Application"

项目结构如下：

配置一个服务器，这里使用Tomcat

至此项目就算是配置完成了，启动Tomcat，访问index.jsp，效果如下。

1.4. Spring MVC应用

1.4.1. 1、Spring MVC App示例

创建一个包，在包中创建一个控制器TestController

在控制器中输入以下代码:

package t4rrega.spring;

import org.springframework.stereotype.Controller;

import org.springframework.web.bind.annotation.RequestMapping;

@Controller

@RequestMapping("/test")

public class TestController {

    @RequestMapping("/index")

    public String test(String input) {

        return "/WEB-INF/t4rrega/test.jsp";

    }

}

该控制器通过RequestMapping对访问路径进行定义。

该注解用来处理请求地址的映射，可以用于类或方法。

用作类定义时，则表明以该地址作为父路径，如上图中的test()方法，如果需要从URL中访问到，路径为: 父路径+方法路径=/test/index

然后在相应的路径创建文件

修改dispatcher-servlet.xml文件，添加图示中的代码，其中component-scan，允许Spring MVC对包进行查找。

修改web.xml

修改url-pattern为"/"

Servlet-mapping不清楚的可以看我之前javaWeb的文章:JavaWeb上、