java - Image Servlet 还可以访问其他文件

Question

我想在 servlet 内显示图像，
有许多复杂的方法，例如

• 首先将图像转储到数据库中，然后使用它
• reading from disk and converting to byte array then having separate servlet for each image

最后我发现这很容易。
我使用了这个 tutoria 中的 Image Servlet l

更改了 web.xml

<servlet>
 <servlet-name>Image</servlet-name>
 <servlet-class>com.jsos.image.ImageServlet</servlet-class>
 <init-param>
  <param-name>dir</param-name>
  <param-value>C:/Users/myName/Desktop/myName/workspace_j2ee/myServlet/WebContent/images</param-value>
 </init-param>
 <init-param>
  <param-name>expires</param-name>
  <param-value>86400</param-value>
 </init-param>
</servlet> 

我可以使用

成功显示图像

/Myservlet/Image?fileName.png

但问题是这实际上是安全漏洞，正如我尝试过的

/Myservlet/Image?../../src/maJavafiles.java

令我惊讶的是，java 文件被下载了。那么我如何限制用户放置这种 url 我的意思是在目录结构中进行升级

Answer 1

为了能够进行此类更改，您需要有权访问 Servlet 源代码。由于您无法更改代码，因此您应该从头开始开发此类功能并考虑到此安全问题...

您可以使用类似 @BalusC servlet for image viewing 的内容