java - 如何绕过 web.xml 中的安全过滤器

Question

我正在我们的 Web 应用程序中使用自制的安全过滤器 SCMIS 安全过滤器，当用户未经过身份验证以访问位于依赖项 JAR 文件中的 Web 应用程序时，它会调用异常 java 文件。此过滤器是在我们的 web.xml 文件中定义的，但我想知道当调用此特定异常时是否可以绕过此安全过滤器，以便我可以将用户重定向到同一 Web 应用程序中的特定 JSP 页面？

这是 web.xml:

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:web="http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
    id="WebApp_ID"  version="2.5">

  <display-name>SCMIS</display-name>

    <filter>
        <filter-name>Waffle SecurityFilter</filter-name>
        <filter-class>waffle.servlet.NegotiateSecurityFilter</filter-class>
    </filter>

    <filter>
        <display-name>SCMIS Security Filter</display-name>
        <filter-name>SCMISSecurityFilter</filter-name>
        <filter-class>org.texashealth.scmis.security.Filter</filter-class>
    </filter>

    <filter>
        <display-name>Stripes Filter</display-name>
        <filter-name>StripesFilter</filter-name>
        <filter-class>net.sourceforge.stripes.controller.StripesFilter</filter-class>
        <init-param>
            <param-name>ActionResolver.Packages</param-name>
            <param-value>org.texashealth.scm.stripes,org.texashealth.scmis.stripes</param-value>
        </init-param>
        <init-param>
            <param-name>Extension.Packages</param-name>
            <param-value>org.texashealth.scmis.stripes.ext</param-value>
        </init-param>
        <init-param>
            <param-name>PopulationStrategy.Class</param-name>
            <param-value>net.sourceforge.stripes.tag.BeanFirstPopulationStrategy</param-value>
        </init-param>
    </filter>

    <filter-mapping>
        <filter-name>Waffle SecurityFilter</filter-name>
        <url-pattern>*.jsp</url-pattern>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

    <filter-mapping>
        <filter-name>Waffle SecurityFilter</filter-name>
        <url-pattern>*.action</url-pattern>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

    <filter-mapping>
        <filter-name>SCMISSecurityFilter</filter-name>
        <url-pattern>*.jsp</url-pattern>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

    <filter-mapping>
        <filter-name>SCMISSecurityFilter</filter-name>
        <url-pattern>*.action</url-pattern>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

    <filter-mapping>
        <filter-name>StripesFilter</filter-name>
        <url-pattern>*.jsp</url-pattern>
        <dispatcher>REQUEST</dispatcher>
        <dispatcher>FORWARD</dispatcher>
    </filter-mapping>

    <filter-mapping>
        <filter-name>StripesFilter</filter-name>
        <servlet-name>StripesDispatcher</servlet-name>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

    <servlet>
        <display-name>Stripes Dispatcher</display-name>
        <servlet-name>StripesDispatcher</servlet-name>
        <servlet-class>net.sourceforge.stripes.controller.DispatcherServlet</servlet-class>
        <load-on-startup>1</load-on-startup>
    </servlet>

    <servlet-mapping>
        <servlet-name>StripesDispatcher</servlet-name>
        <url-pattern>*.action</url-pattern>
    </servlet-mapping>

    <error-page>
        <exception-type>java.lang.Exception</exception-type>
        <location>/error.jsp</location>
    </error-page>

    <welcome-file-list>
        <welcome-file>index.html</welcome-file>
        <welcome-file>index.htm</welcome-file>
        <welcome-file>index.jsp</welcome-file>
        <welcome-file>default.html</welcome-file>
        <welcome-file>default.htm</welcome-file>
        <welcome-file>default.jsp</welcome-file>
    </welcome-file-list>
</web-app>

JAR 中从过滤器调用的异常方法是:

public UnauthorizedException(final HttpServletResponse response, final String userName) throws IOException {
    //response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "User: " + userName.toUpperCase() + " is not authorized to access this resource");
    response.sendRedirect("/nau/unAuthorizedUser.jsp");
}

现在，在启动本地 tomcat 服务器时，我陷入了循环，因为我处于安全过滤器中，该过滤器不断尝试对用户进行身份验证以访问 Web 应用程序，并且无法让用户访问 unAuthorizedUser.jsp 页面.

任何帮助/指导将不胜感激。

Answer 1

现在您已将安全过滤器映射到 *.jsp 上，这显然会拦截所有 *.jsp 请求，包括 unAuthorizedUser.jsp页面。基本上有两种方法可以解决这个问题:

1. 您需要更改过滤器映射，因为它与 unAuthorizedUser.jsp 请求不匹配。例如，将其更改为 /app/* 并将所有受限制的页面放入 /app 文件夹中。

2. 您需要在 request.getRequestURI() 上添加额外的 if 检查，以查看是否已请求 unAuthorizedUser.jsp如果是，则跳过授权检查并继续过滤器链。