详解Tomcat常用的过滤器
一、跨域过滤器corsfilter
org.apcache.catalina.filters.corsfilter是跨域资源共享规范的一个实现,常常用于前后端分离,静态资源与后端分离等情况。它主要在httpservletresponse中增加access-control-*头,同时保护http响应避免拆分,如果请求无效或者禁止访问,则返回403响应码。
1.1、配置示例
<filter> <filter-name>corsfilter</filter-name> <filter-class>org.apache.catalina.filters.corsfilter</filter-class> <init-param> <param-name>cors.allowed.origins</param-name> <param-value>*</param-value> </init-param> <init-param> <param-name>cors.allowed.methods</param-name> <param-value>get,post,head,options,put</param-value> </init-param> <init-param> <param-name>cors.allowed.headers</param-name> <param-value>content-type,x-requested-with,accept,origin,access-control-request-method,access-control-request-headers</param-value> </init-param> <init-param> <param-name>cors.exposed.headers</param-name> <param-value>access-control-allow-origin,access-control-allow-credentials</param-value> </init-param> <init-param> <param-name>cors.support.credentials</param-name> <param-value>true</param-value> </init-param> <init-param> <param-name>cors.preflight.maxage</param-name> <param-value>10</param-value> </init-param> </filter> <filter-mapping> <filter-name>corsfilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
1.2、参数说明
1、cors.allowed.origins
允许访问的跨域资源列表,"*"表示允许访问来自任何域的资源,多个域用逗号分隔,默认为"*"
2、cors.allowed.methods
可以用于访问资源的http方法列表,","分隔,用于跨域请求。这些方法将出现在prefligh(预检请求)响应头access-control-allow-methods的一部分,t默认为"get, post, head, options"
3、cors.allowed.headers
构造请求时可以使用的请求头,以","分隔,这些方法将出现在prefligh(预检请求)响应头access-control-allow-headers的一部分,默认为origin, accept, x-requested-with, content-type, access-control-request-method, access-control-request-headers
4、cors.exposed.headers
浏览器允许访问的头部信息列表,","分隔。这些方法将出现在prefligh(预检请求)响应头access-control-allow-headers的一部分,默认为空。
5、cors.preflight.maxage
浏览器允许缓存的preflght请求结果的时间,单位为秒。如果为负数,则表示corsfilter不会添加头到preflight响应,这些方法将出现在prefligh(预检请求)响应头access-control-max-age的一部分,默认为1800.
6、cors.support.credentials
表示资源是否支持用户证书,这些方法将出现在prefligh(预检请求)响应头access-control-allow-credentials的一部分,默认为true
7、cors.request.decorate
cors规范属性是否已经添加到httpservletrequest,默认为true。corsfiter会为httpservletrequest添加请求相关信息,cors.request.decorate配置为true,那么以下属性将会被添加
1)cors.iscorsrequest:用于请求是否为cors请求。
2)cors.request.origin:源url,请求源自的页面url。
3)cors.request.type:cors的请求类型,如下:
simple
:非preflight请求为先导的请求。
actual
:以preflight请求为先导的请求。
pre_flight
:preflight请求
not_cors
:正常同域请求
invalid_cors
:无效的域请求
4)cors.request.headers:作为preflight请求access-control-request-header头发送的请求头信息。
二、csrf保护过滤器csrfpreventionfilter
org.apcache.catalina.filters.csrfpreventionfilter为web应用提供了基本的csrf保护。返回的客户端的所有链接均通过httpservletresponse.encoderedirecturl(string)与httpservletresponse.encodeurl(string)进行编码,该过滤器生成一个随机数并存储到会话session中进行对比,url使用该随机数进行编码。当接收到下一个请求时,请求中随机数与会话中的进行对比,只有两者相同时,请求才会被允许。
2.1、配置示例
<filter> <filter-name>csrfpreventionfilter</filter-name> <filter-class>org.apache.catalina.filters.csrfpreventionfilter</filter-class> <init-param> <param-name>denystatus</param-name> <param-value>403</param-value> </init-param> <init-param> <param-name>entrypoints</param-name> <param-value>/html,/html/list</param-value> </init-param> <init-param> <param-name>noncecachesize</param-name> <param-value>5</param-value> </init-param> </filter> <filter-mapping> <filter-name>csrfpreventionfilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
2.2、参数说明
1、denystatus:http响应吗,用于驳回拒绝请求,默认为403
2、entrypoints:以","为分隔的url列表,这些列表将不会进行随机数检测(主要用于通过导航离开受保护应用,之后再返回)
if ("get".equals(req.getmethod()) && this.entrypoints.contains(this.getrequestedpath(req))) { skipnoncecheck = true; }
3、noncecachesize:随机数缓存大小。先前发布的随机数被缓存到一个lru缓存中以支持并发请求,有限的用于浏览器刷新等行为(可能导致随机数不是当前的),默认为5
private int noncecachesize = 5; .... if (noncecache == null) { noncecache = new csrfpreventionfilter.lrucache(this.noncecachesize); if (session == null) { session = req.getsession(true); } session.setattribute("org.apache.catalina.filters.csrf_nonce", noncecache); }
4、randomclass:用于生成随机数的类,必须是java.util.random实例,如不设置默认为java.security.securerandom
三、防止参数丢失过滤器failedrequestfilter
org.apcache.catalina.filters.failedrequestfilter用于触发请求的参数解析,当参数解析失败时,将会拒绝请求,该filter用于确保客户端提交的参数信息不发生丢失。该过滤器的原理是:先调用servletrequest.getparameter(首次调用会触发tomcat服务器的请求参数解析,如果参数解析失败,将结果放到请求属性org.apache.catalina.parameter_parse_failed中),之后判断属性org.apache.catalina.parameter_parse_failed的值,如果不为空则直接返回400。
为了能正确解析参数,需要该filter之前设置字符集编码过滤器setcharacterencodingfilter。此外,该过滤器是不支持r初始化参数的
// 判断是否为有效的请求:org.apache.catalina.parameter_parse_failed为null private boolean isgoodrequest(servletrequest request) { request.getparameter("none"); return request.getattribute("org.apache.catalina.parameter_parse_failed") == null; }
四、获取客户端ip过滤器remoteaddrfilter
org.apcache.catalina.filters.remoteaddrfiler允许比较提交的客户端ip地址(通过servletrequest.getremoteaddr获取)是否符合指定正则表达式。
4.1、配置示例
<filter> <filter-name>remote address filter</filter-name> <filter-class>org.apache.catalina.filters.remoteaddrfilter</filter-class> <init-param> <param-name>allow</param-name> <param-value>127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1</param-value> </init-param> </filter> <filter-mapping> <filter-name>remote address filter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
4.2、参数说明
1、allow:指定允许访问的客户端ip地址
2、deny:拒绝访问的客户端地址
3、denystatus:拒绝请求时返回的http响应吗。
五、获取客户端host过滤器remotehostfilter
org.apcache.catalina.filters.remotehostfiler允许比较提交请求的客户端主机名是否符合指定的正则表达式,以确定是否允许继续处理请求。参数同remoteaddrfilter
六、获取原始客户端ip过滤器remoteipfilter
当客户端通过http代理或者负载均衡访问服务器时,对于服务器来说,请求直接源自前置的代理服务器,此时获取到的远程ip实际为代理服务器的ip地址。
6.1、如何获得原始的客户端的ip地址
http协议通过x-forwarded-for头信息记录了资客户端到应用服务器前置代理的ip地址,remoteipfilter通过解析该请求头,将请求中的ip地址与主机名替换为客户端真实的ip地址和主机信息,此外还可以通过x-forwardred-proto请求头替换当前的协议名称http/https、服务器端口及request.secure。
x-forwarded-for的格式如下:
x-forwarded-for: client, proxy1, proxy2
最左侧client为最原始的客户端ip,如上示例中客户端经过了proxy1、proxy2、proxy3三级代理(最后一层proxy3不显示,通过servletrquest.getremoteaddr获取)。在负载均衡的情况下,remoteaddrfilter和remotehostfilter需要与该过滤器配合使用,否则无法正确限制访问客户端。
通常我们获取x-forwarded-for使用如下java代码:
public static string getip(httpservletrequest request) { string requestaddr = request.getheader("x-forwarded-for"); if (requestaddr == null || requestaddr.length() == 0 || "unknown".equalsignorecase(requestaddr)) { requestaddr = request.getheader("proxy-client-ip"); } if (requestaddr == null || requestaddr.length() == 0 || "unknown".equalsignorecase(requestaddr)) { requestaddr = request.getheader("wl-proxy-client-ip"); } if (requestaddr == null || requestaddr.length() == 0 || "unknown".equalsignorecase(requestaddr)) { requestaddr = request.getremoteaddr(); } return requestaddr; }
6.2、配置示例
1)基本处理x-forwarded-for头的配置
<filter> <filter-name>remoteipfilter</filter-name> <filter-class>org.apache.catalina.filters.remoteipfilter</filter-class> </filter> <filter-mapping> <filter-name>remoteipfilter</filter-name> <url-pattern>/*</url-pattern> <dispatcher>request</dispatcher> </filter-mapping>
2)处理x-forwarded-for与x-forwarded-proto头部的配置
<filter> <filter-name>remoteipfilter</filter-name> <filter-class>org.apache.catalina.filters.remoteipfilter</filter-class> <init-param> <param-name>protocolheader</param-name> <param-value>x-forwarded-proto</param-value> </init-param> </filter> <filter-mapping> <filter-name>remoteipfilter</filter-name> <url-pattern>/*</url-pattern> <dispatcher>request</dispatcher> </filter-mapping>
3)使用内部代理的高级配置
<filter> <filter-name>remoteipfilter</filter-name> <filter-class>org.apache.catalina.filters.remoteipfilter</filter-class> <init-param> <param-name>allowedinternalproxies</param-name> <param-value>192\.168\.0\.10|192\.168\.0\.11</param-value> </init-param> <init-param> <param-name>remoteipheader</param-name> <param-value>x-forwarded-for</param-value> </init-param> <init-param> <param-name>remoteipproxiesheader</param-name> <param-value>x-forwarded-by</param-value> </init-param> <init-param> <param-name>protocolheader</param-name> <param-value>x-forwarded-proto</param-value> </init-param> </filter>
4)使用可信任代理高级配置
<filter> <filter-name>remoteipfilter</filter-name> <filter-class>org.apache.catalina.filters.remoteipfilter</filter-class> <init-param> <param-name>allowedinternalproxies</param-name> <param-value>192\.168\.0\.10|192\.168\.0\.11</param-value> </init-param> <init-param> <param-name>remoteipheader</param-name> <param-value>x-forwarded-for</param-value> </init-param> <init-param> <param-name>remoteipproxiesheader</param-name> <param-value>x-forwarded-by</param-value> </init-param> <init-param> <param-name>trustedproxies</param-name> <param-value>proxy1|proxy2</param-value> </init-param> </filter>
七、字符集编码过滤器setcharacterencodingfilter
提供了一种设置字符集编码的方式,通常情况下默认iso-8859-1编码,但实际生产环境推荐使用utf-8编码,而请求中的编码可以在未指定编码时使用,也可以强制覆盖。
7.1、配置示例
<filter> <filter-name>setcharacterencodingfilter</filter-name> <filter-class>org.apache.catalina.filters.setcharacterencodingfilter</filter-class> <init-param> <param-name>encoding</param-name> <param-value>utf-8</param-value> </init-param> <init-param> <param-name>ignore</param-name> <param-value>false</param-value> </init-param> </filter> <filter-mapping> <filter-name>setcharacterencodingfilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
7.2、参数说明
1、encoding:指定的字符集编码
2、ignore:表示是否忽略客户端请求设置的字符集编码,如果为true那么都会将请求字符集编码覆盖,如果为false,请求没有指定字符集编码时设置。默认为false
以上就是详解tomcat常用的过滤器的详细内容,更多关于tomcat过滤器的资料请关注其它相关文章!
上一篇: 德克士无“家”可归