Spring MVC过滤form表单为"multipart/form-data"时遇到问题

左手的ㄟ右手 2022-04-15 01:45 218阅读 0赞

**“风不定，人初静，明月落红应满径”**

## 起因 ##

最初因为这样，我们系统被送去检测漏洞，发现了XSS攻击的漏洞。如下图：![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70]  
在产品描述的地方写上一些JS脚本，我们系统的过滤器不会过滤掉这些脚本。于是，开始了下面的寻找真相过程。

## 寻找真相 ##

1.  首先，上图中的form表中属性为：`<form id="XXX" method="post" enctype="multipart/form-data">` 着重说明一下，这里的form表单用到了`enctype="multipart/form-data"` 属性，但是此表单并没有提交文件。
2.  看下我们写的过滤器：![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 1]  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 2]
3.  **但是 但是** 。带有`enctype="multipart/form-data"` 属性的form表单根本就不会进入上图中的`getParameterValues` 方法，也就不会替换危险字符了。
4.  这个时候，你有两种方法可以选择。第一：把不需要上传文件的form表单中删掉`enctype="multipart/form-data"` 属性。那它即是默认的`application/x-www-form-urlencoded` 形式。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 3]  
    删掉`enctype="multipart/form-data"` 之后，就能正常进入上面过滤器的`getParameterValues` 方法，也就可以正常替换了。很明显，我选择的是第二种方法，即修改过滤器。
5.  在过滤器中加个判断，如果是文件类型的提交，则把`HttpServletRequest` 换成`MultipartHttpServletRequest` 。就可以过滤了。

// 用于创建MultipartHttpServletRequest
    	private MultipartResolver multipartResolver = null;
    
    	public void init(FilterConfig filterConfig) throws ServletException {
    
    		//获取multipartResolver 类
    		WebApplicationContext webApplicationContext = ContextLoader.getCurrentWebApplicationContext();
    		ServletContext context = webApplicationContext.getServletContext();
    		WebApplicationContext ctx = WebApplicationContextUtils.getWebApplicationContext(context);
    		multipartResolver = (MultipartResolver) ctx.getBean("multipartResolver");
    
    	}
    	public void doFilter(ServletRequest req, ServletResponse response,
    			FilterChain chain) throws IOException, ServletException {
    		HttpServletRequest request = (HttpServletRequest)req;
    
    	    HttpSession session = request.getSession();
    	    //判断在新增修改时，如果form表中的entype中有multipart/form-data，则把request换成MultipartHttpServletRequest，这样
    		//才可以获取到form表中的值，并且进行过滤
    		String enctype = req.getContentType();
    		if (StringUtils.isNotBlank(enctype) && enctype.contains("multipart/form-data")){
    			// 返回 MultipartHttpServletRequest 用于获取 multipart/form-data 方式提交的请求中 上传的参数
    			chain.doFilter(new LocalXssHttpServletRequestWrapper(multipartResolver.resolveMultipart(request),filterChar,replaceChar,splitChar), response);
    		}else {
    			chain.doFilter(new LocalXssHttpServletRequestWrapper(request,filterChar,replaceChar,splitChar), response);
    		}
    	}

1.  **但是 但是** 。又是一个大大的但是。这样改了之后，在form表单中如果是需要提交文件的时候，浏览器会报400的错误。但是控制台上又没有输出错的时候，这时候需要打开spring的日志：`log4j.logger.org.springframework=debug` 。这样才能看到错误是：`Required MultipartFile parameter 'file' is not present` 。为了解决这个问题，你需要把`public Map<String,Object> XXX(HttpServletRequest request,@RequestParam("file") MultipartFile[] files,String state) {}` 参数中的file改为`required=false` 即`@RequestParam(value = "file",required = f ) MultipartFile[] files`
2.  这样之后，你就能正常提交form表单了，并且能够正常的过滤。
3.  **但是 但是** 。问题又来了，文件提交不上去了。参数中的`MultipartFile[] files` 为null。。。望大神解答。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70]: /images/20220415/d3642637847a478a9034ffab0360d0c1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 1]: /images/20220415/69bb10464ec6428b9d8412988238e308.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 2]: /images/20220415/e2d23870019143bdb72dbd2b3013082d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FfUnVubmVy_size_16_color_FFFFFF_t_70 3]: /images/20220415/496e33943b384adab1221f2f7752d852.png