spring boot使用切面对HTTP传入的参数做防sql和非法字符串检测

柔情只为你懂 2022-05-29 10:40 281阅读 0赞

# spring boot使用切面对HTTP传入的参数做防sql和非法字符串检测 #

--------------------

首先要构建一个spring boot工程，这个非常简单。  
本文的重点是使用切面对controller层接入的外参进行sql注入检测和非法字符串检测

### 1. 创建一个接口 ###

@RestController
    public class TestController { @GetMapping("/hello/{str}") public String getStr(@PathVariable("str")String str){ return str; } }

### 2. 我们需要对传入的str字符串进行检测，创建一个切面 ###

@Component
    @Aspect
    public class CheckInputParameterAspect { private static final Log Logger = LogFactory.getLog(CheckInputParameterAspect.class); // 存在SQL注入风险 private static final String IS_SQL_INJECTION = "输入参数存在SQL注入风险"; private static final String UNVALIDATED_INPUT = "输入参数含有非法字符"; private static final String ERORR_INPUT = "输入的参数非法"; /** * 定义切入点:拦截controller层所有方法
         */
        @Pointcut("execution(* com.compass.yu.controller..*(..))")
        public void params() {
        }
    
        /**
         * 定义环绕通知
         * 
         * @param joinPoint
         * @throws Throwable
         */
        @Around("params()")
        public Object doBefore(ProceedingJoinPoint joinPoint) throws Throwable {
            ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
            HttpServletRequest request = attributes.getRequest();
            Object[] args = joinPoint.getArgs();// 参数
            String str = String.valueOf(args);
    
            if (!IllegalStrFilterUtil.sqlStrFilter(str)) {
                Logger.info(IS_SQL_INJECTION);
                new RuntimeException(ERORR_INPUT);
            }
            if (!IllegalStrFilterUtil.isIllegalStr(str)) {
                Logger.info(UNVALIDATED_INPUT);
                new RuntimeException(ERORR_INPUT);
            }
            Object result = joinPoint.proceed();
            Logger.info("当前调用接口-[" + request.getRequestURL() + "]");
            return result;
        }
    
    }

### 3. 其中用到啦IllegalStrFilterUtil，对字符检测的工具类 ###

public class IllegalStrFilterUtil { private static final Log Logger = LogFactory.getLog(IllegalStrFilterUtil.class); private static final String REGX = "!|！|@|◎|#|＃|(\\$)|￥|%|％|(\\^)|……|(\\&)|※|(\\*)|×|(\$)|（|(\$)|）|_|——|(\\+)|＋|(\\|)|§ "; /** * 对常见的sql注入攻击进行拦截 * * @param sInput * @return * true 表示参数不存在SQL注入风险 * false 表示参数存在SQL注入风险 */ public static Boolean sqlStrFilter(String sInput) { if (sInput == null || sInput.trim().length() == 0) { return false; } sInput = sInput.toUpperCase(); if (sInput.indexOf("DELETE") >= 0 || sInput.indexOf("ASCII") >= 0 || sInput.indexOf("UPDATE") >= 0 || sInput.indexOf("SELECT") >= 0 || sInput.indexOf("'") >= 0 || sInput.indexOf("SUBSTR(") >= 0 || sInput.indexOf("COUNT(") >= 0 || sInput.indexOf(" OR ") >= 0 || sInput.indexOf(" AND ") >= 0 || sInput.indexOf("DROP") >= 0 || sInput.indexOf("EXECUTE") >= 0 || sInput.indexOf("EXEC") >= 0 || sInput.indexOf("TRUNCATE") >= 0 || sInput.indexOf("INTO") >= 0 || sInput.indexOf("DECLARE") >= 0 || sInput.indexOf("MASTER") >= 0) { Logger.error("该参数怎么SQL注入风险：sInput=" + sInput); return false; } Logger.info("通过sql检测"); return true; } /** * 对非法字符进行检测 * * @param sInput * @return * true 表示参数不包含非法字符 * false 表示参数包含非法字符 */ public static Boolean isIllegalStr(String sInput) { if (sInput == null || sInput.trim().length() == 0) { return false; } sInput = sInput.trim(); Pattern compile = Pattern.compile(REGX, Pattern.CASE_INSENSITIVE); Matcher matcher = compile.matcher(sInput); Logger.info("通过字符串检测"); return matcher.find(); } }

### 4. 打印结果： ###

2018-03-22 10:48:24.661  INFO 9060 --- [io-8090-exec-10] c.c.yu.common.util.IllegalStrFilterUtil  : 通过sql检测
    2018-03-22 10:48:24.662  INFO 9060 --- [io-8090-exec-10] c.c.y.c.i.CheckInputParameterAspect      : 输入参数存在SQL注入风险
    2018-03-22 10:48:24.666  INFO 9060 --- [io-8090-exec-10] c.c.yu.common.util.IllegalStrFilterUtil  : 通过字符串检测
    2018-03-22 10:48:24.666  INFO 9060 --- [io-8090-exec-10] c.c.y.c.i.CheckInputParameterAspect      : 输入参数含有非法字符
    2018-03-22 10:48:24.675  INFO 9060 --- [io-8090-exec-10] c.c.y.c.i.CheckInputParameterAspect      : 当前调用接口-[http://localhost:8090/hello/wrold]

> 结果匹配上啦就标识，拦截检测成功！