shiro从1.6.0升级到1.7.1版本，请求路径中带有中文接口报400

绝地灬酷狼 2024-04-01 14:47 18阅读 0赞

由于之前所用的shiro1.4.1版本出现了安全漏洞，于是进行了版本的升级，升级到1.10.0版本，但遇到了以下问题：

1、访问某个接口的时候，返回状态码400，invaild request；  
2、访问路径为XX/XXX/\{params\}。

找问题思路：  
1、接口之前一直都是正常的，查看git提交记录，该接口并未做任何改动；  
2、拿本次请求参数和之前请求参数做对比，发现多了个入参字段；  
3、将该字段去掉再访问接口正常；  
4、入参加上该字段接口异常，将该字段的入参值换成空、数字、英文访问接口正常，最后在换成中文（因为第一次请求的时候就是中文），接口就报400。  
5、然后查看git提交记录，发现该接口并未进行改动，但是有shiro和dubbo的升级，先将shiro的版本恢复，接口就正常，因此确定是shiro升级导致的该问题。  
找到问题所在  
1、先找到是哪个地方报的400  
![在这里插入图片描述][a8a4349a68744a1f91b630ef1f7b79dc.png]2、查看版本与现在1.10.0版本的区别  
![在这里插入图片描述][a788a4dea04a4bc28821f71c2d632fb6.png]  
1.10.0版本  
![在这里插入图片描述][cbcd34e4a92c4b61b277463a732a5eac.png]  
从图片可以看出，1.6.X只校验了uri = WebUtils.toHttp(request).getRequestURI()，但是1.10.0还校验了路径 request.getPathInfo()，且进行了解码得到路径，路径中有中文，就校验不通过

public class CustomShiroFilterFactoryBean extends ShiroFilterFactoryBean {
        
     
        @Override
        protected FilterChainManager createFilterChainManager() {
        
            FilterChainManager manager = super.createFilterChainManager();
           
            Map<String, Filter> filterMap = manager.getFilters();
            Filter invalidRequestFilter = filterMap.get(DefaultFilter.invalidRequest.name());
            if (invalidRequestFilter instanceof InvalidRequestFilter) {
        
            //此处是关键，设置false跳过URL携带中文400，servletPath中文校验
                ((InvalidRequestFilter) invalidRequestFilter).setBlockNonAscii(false);
            }
            return manager;
        }
    }

在shiroConfig中getShiroFilterFactoryBean中引入CustomShiroFilterFactoryBean

@Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager")DefaultWebSecurityManager securityManager) {
        
            CustomShiroFilterFactoryBean shiroFilterFactoryBean =new CustomShiroFilterFactoryBean();
            //设置安全管理器
            shiroFilterFactoryBean.setSecurityManager(securityManager);
     
            /*
             * 添加shiro内置过滤器，实现权限相关的url拦截
             * 常见过滤器：
             * anon：无需认证（登录）可以访问
             * authc：必须认证才可以访问
             * user:如果使用Remember Me的功能，可以直接访问
             * perms:该资源必须得到资源权限才可以访问
             * role:该资源必须得到角色权限才可以访问
             */
            Map<String, String> filterMap = new LinkedHashMap<>();
            filterMap.put("/add", "authc");
            filterMap.put("/update", "authc");
            shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
            return shiroFilterFactoryBean;
        }

[a8a4349a68744a1f91b630ef1f7b79dc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/7554018fac1c47b98f6e9f4251f9c7be.png
[a788a4dea04a4bc28821f71c2d632fb6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/56a5e76e1bed4b6d97ee42dd09f292cc.png
[cbcd34e4a92c4b61b277463a732a5eac.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/42a53f3acf6b45b9963b3796216eab2a.png