2021
04-27
04-27
详解SpringBoot中关于%2e的Trick
分享一个SpringBoot中关于%2e的小Trick。先说结论，当SpringBoot版本在小于等于2.3.0.RELEASE的情况下，alwaysUseFullPath为默认值false，这会使得其获取ServletPath，所以在路由匹配时会对%2e进行解码，这可能导致身份验证绕过。而反过来由于高版本将alwaysUseFullPath自动配置成了true从而开启全路径，又可能导致一些安全问题。这里我们来通过一个例子看一下这个Trick，并分析它的原因。首先我们先来设置SprinBoot版本<par...
继续阅读 >