SpringMVC 07: WEB-INF下的资源访问 + SpringMVC拦截器

灰太狼 2024-04-07 12:36 45阅读 0赞

### WBE-INF目录下的资源访问 ###

*  项目配置和Spring博客集(指SpringMVC 02)中配置一样
 *  出于对网站资源的安全性保护，放在WBE-INF目录下的资源不可以被外部直接访问
 *  在WEB-INF/jsp/下新建index.jsp和main.jsp，作为WEB-INF目录下的资源
 *  部署并启动tomcat,根据2个资源的位置，尝试直接在地址栏访问
 *  结果如下，两个资源均访问不到

![22449efeb86b4b08b918c07516a75b37.png][]

*  修改springmvc.xml中视图解析器如下

<bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">
            
            <property name="prefix" value="/WEB-INF/jsp/"/>
            
            <property name="suffix" value=".jsp"/>
        </bean>

*  新增控制器：WebInFAction，两个action方法分别转发请求WEB-INF下的相应资源

package com.example.controller;
    
    import org.springframework.stereotype.Controller;
    import org.springframework.web.bind.annotation.RequestMapping;
    
    @Controller
    public class WebInfAction {
    
        @RequestMapping("/showIndex")
        public String showIndex(){
            return "index";
        }
    
        @RequestMapping("/showMain")
        public String showMain(){
            return "main";
        }
    }

*  分别访问localhost:8080/showIndex.action和localhost:8080/showMain.action，成功访问WEB-INF下的资源

![8bd9bfc304494d6c112dbd919ccebada.png][]

*  由于在web.xml中配置了接受处理的请求的格式"\*.action"，所以如果请求想要被处理必须以".action"结尾，修改该请求通配条件为"/"，即对所有请求都接受处理
 *  分别访问localhost:8080/showIndex和localhost:8080/showMain，去掉访问后缀后，也可以成功访问WEB-INF下的资源

![b82cf81459dab515919fa741b069216b.png][]

*  虽然通过action转发比直接输入资源地址要安全一些，但是如果直接输入：localhost:8080/showMain也可以直接访问到WEB-INF下的资源，所以上述经action方法转发的方式其实也不安全。
 *  我们尝试增加一个登陆验证，使得只有登陆成功的用户才可以访问到WEB-INF下的main.jsp资源
 *  webapp/index.jsp：点击超链接，向服务器请求登陆页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <title>index.jsp</title>
    </head>
    <body>
    <a href="${pageContext.request.contextPath}/showLogin">去登陆</a>
    </body>
    </html>

*  WEB-INF/jsp/新增login.jsp：作为登陆页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <title>login.jsp</title>
    </head>
    <body>
    
    
        
    <h1>登陆</h1>
    <form action="${pageContext.request.contextPath}/login" method="post">
        用户名:<input type="text" name="username">
        密码:<input type="password" name="password">
        <input type="submit" value="提交">
    </form>
        
    
    ${msg}
        
    </body>
    </html>

*  控制器WebInfAction如下：新增登陆页面的转发功能，以及对登陆信息的验证判断功能

package com.example.controller;
    
    import org.springframework.stereotype.Controller;
    import org.springframework.web.bind.annotation.RequestMapping;
    
    import javax.servlet.http.HttpServletRequest;
    
    @Controller
    public class WebInfAction {
    
        @RequestMapping("/showIndex")
        public String showIndex(){
            return "index";
        }
    
        @RequestMapping("/showMain")
        public String showMain(){
            return "main";
        }
    
        @RequestMapping("/showLogin")
        public String showLogin(){
            return "login";//转发并返回登陆页面
        }
    
        //对登陆信息进行判断，用户信息符合是转发跳转到main.jsp，信息不符合时，填入登陆失败的信息并重新转发到登陆页面
        @RequestMapping("/login")
        public String login(String username, String password, HttpServletRequest request){
            if(username.equals("荷包蛋") && password.equals("hebaodan")){
                return "main";
            }else{
                request.setAttribute("msg", "用户名或密码错误");
                return "login";
            }
        }
    }

*  部署并启动tomcat测试
 *  当登陆信息错误时

![1a39a4c2533f36c9b46aa5284b4e3546.png][]

*  当登陆信息正确时

![3718ad848022f2c96a9a416bcdbf6858.png][]

*  但是如果直接访问:localhost:8080/showMain，仍然可以越过登陆，直接访问WEB-INF下的资源，仍然不安全

### SpringMVC拦截器 ###

*  拦截器执行原理

![603eaba401593f58774b1e0653b7a8df.png][]

*  拦截器的作用：
 *  针对请求和响应进行额外的处理，在请求和响应的过程中添加预处理，后处理和最终处理
 *  拦截器执行的时机：
 *  preHandle()：在请求被处理之前进行操作，即预处理
 *  postHandle()：在请求被处理之后，但结果还没有渲染前进行操作，可以改变响应结果，即后处理
 *  afterCompletion：所有的请求响应结束后执行善后工作，清理对象，关闭资源，即最终处理
 *  拦截器实现的两种方式：
 *  继承HandlerInterceptorAdapter父类
 *  或者实现HandlerInterceptor接口(推荐使用接口方式：java遵循单继承，不要轻易的去继承那些非核心业务的父类，否则就无法再继承其他业务类了，对于某些附加功能，去实现相应接口就可以了，因为允许实现很多接口)
 *  拦截器的实现步骤：
 *  改造登陆方法，在session中存储用户信息，用于进行权限验证
 *  开发拦截器的功能，实现HandlerInterceptor接口，重写preHandle()方法，进行登陆信息验证
 *  在springmvc.xml文件中注册拦截器
 *  使用拦截器继续改造上述WEB-INF下资源的安全访问：
 *  WebInfAction中的login方法修改如下：登陆成功后，向session域中存放用户信息，用于后续安全验证

@RequestMapping("/login")
        public String login(String username, String password, HttpServletRequest request){
            if(username.equals("荷包蛋") && password.equals("hebaodan")){
                //如果登陆成功，则设置session信息
                request.getSession().setAttribute("user", username);
                return "main";
            }else{
                request.setAttribute("msg", "用户名或密码错误");
                return "login";
            }
        }

*  新增登陆拦截器

package com.example.interceptor;
    
    import org.springframework.web.servlet.HandlerInterceptor;
    
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    
    /**
     * 登陆拦截器
     */
    public class LoginInterceptor implements HandlerInterceptor {
        //预处理拦截
        @Override
        public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
            //验证session信息，判断是否登陆成功
            if(request.getSession().getAttribute("user") == null){
                request.setAttribute("msg", "还未登陆，清先登陆");
                //打回登陆页面(页面转发实现页面跳转)
                request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);
                return false;//验证信息未通过
            }
            return true;//验证信息通过，放行
        }
    }

*  在springmvc.xml中新增对拦截器的注册

<mvc:interceptors>
            
            <mvn:interceptor>
                
                <mvn:mapping path="/**"/>
                
                <mvn:exclude-mapping path="/showLogin"/>
                <mvn:exclude-mapping path="/login"/>
                
                <bean class="com.example.interceptor.LoginInterceptor"/>
            </mvn:interceptor>
        </mvc:interceptors>

*  部署并启动tomcat测试
 *  当越过登陆直接访问WEB-INF下的资源时，未能通过验证，被打回登陆页面

![1a719ae454d7c6ff73025db297488fc8.png][]

*  登陆成功后，新建窗口，直接访问，此时session域中信息还未过期，成功通过验证

![200ac528e2bfe99ec38985f2a2da7a5d.png][]

[22449efeb86b4b08b918c07516a75b37.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4920000e450c4e0d85a0f792a79a815a.png
[8bd9bfc304494d6c112dbd919ccebada.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/311f82c23d6b43dd89deee89b035dc29.png
[b82cf81459dab515919fa741b069216b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/62e963d84dc94bea849910e58cc2444f.png
[1a39a4c2533f36c9b46aa5284b4e3546.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9341e2d3298f4709ad6375c3279650df.png
[3718ad848022f2c96a9a416bcdbf6858.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/179e5b7219c14118a2c25da69be06ee0.png
[603eaba401593f58774b1e0653b7a8df.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/dbd631216c844b4f9bc4ccfb4159c648.png
[1a719ae454d7c6ff73025db297488fc8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d33fea83068d4ee8a49c2979ec3fa060.png
[200ac528e2bfe99ec38985f2a2da7a5d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/585cf1a5c89b4b809de2aa90da824d4d.png