URL安全问题（过滤器）

在做一个java web 应用的时候，经常要涉及到三个URL的安全问题：

1、没有登录，直接输入对应的URL就可以进入页面；

2、权限问题，普通用户也可以进入管理员的页面，没有权限限制。

3、seesion失效时，刷新会错误。

4、防止用户从其他网站url直接连接进入我网站的某个资源，或者某些页面要求必须从某个页面传递进来，直接输入url进入可能会缺少数据而报错等。此时，可以查看请求的上个页面url来判断，语句如下：httpRequest.getHeader("referer") 该语句可以获得上个页面的url。

 

解决方法就是配置附过滤器对请求进行过滤：

相应的解决方法为：

1、第一点和第三点、第四点的解决方法：

　　配置用户登录过滤器，即检查session中有没有用户存在，若存在，则进入，没有存在，则跳转。实现如下：

/*
 * To change this license header, choose License Headers in Project Properties.
 * To change this template file, choose Tools | Templates
 * and open the template in the editor.
 */
package com.manager.web.filter;

import java.io.IOException;
import java.io.PrintStream;
import java.io.PrintWriter;
import java.io.StringWriter;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;

/**
 *
 * @author wang
 */
@WebFilter(filterName = "loginFilter", urlPatterns = {"*.do"})
public class LoginFilter implements Filter {

    private final static String[] exit_url = {"/login/index.do", "/login/logOff.do"}; // 不用做权限判断的URL 

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
//      1、转化成http的请求和响应
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        String url = httpRequest.getRequestURI();
        System.out.println(url + ":do login Filer!");

//      2、取得session
        HttpSession session = httpRequest.getSession();

//      3、先过滤掉一些不用登录也可以访问的页面
        boolean isExit = false;
        for (String u : exit_url) {
            if (url.indexOf(u) >= 0) {
//                System.out.println(url + "---" + url.indexOf(u));
                isExit = true;
                break;
            }
        }

//      4、/login/verify.do这个请求比较特殊，为了安全，应该屏蔽没有登录的用户请求进入，
//         但是由于发出该请求时用户肯定是空的，没法使用下面的方法屏蔽，需要使用另外一种方法
//         即判断发出该请求的上个请求uri是来自与登录页面的uri，就允许请求，否则拒绝，转到index。
//        下面判断url是对verify的请求，且上个页面不是/login/index.do，便转发到登录页面
        if (url.contains("/login/verify.do")) {
            //上个页面来自登录页面
            if (httpRequest.getHeader("referer") != null && httpRequest.getHeader("referer").contains("/login/index.do")) {
                isExit = true;
            } else {//不是来自登录页面，拒绝这个请求
                httpResponse.sendRedirect("/managerSystem/login/index.do");
                return;
            }
        }

//      4、判断session中有没有user这个属性，如果有这表明已经登录；若无，则表明还没登录，应该重定向到登录页面
        if (!isExit && session.getAttribute("user") == null) {
//            System.out.println(url + "Yes!");
            httpResponse.sendRedirect("/managerSystem/login/index.do");
            return;//必须加，不然会继续往后执行
        }

        chain.doFilter(request, response);
    }

    public void destroy() {
    }

    /**
     * Init method for this filter
     */
    public void init(FilterConfig filterConfig) {
    }

}

2、第二点的解决方法：

　　配置权限管理过滤器

 

 

/*
 * To change this license header, choose License Headers in Project Properties.
 * To change this template file, choose Tools | Templates
 * and open the template in the editor.
 */
package com.manager.web.filter;import com.manager.web.entity.User;
import java.io.IOException;
import java.io.PrintStream;
import java.io.PrintWriter;
import java.io.StringWriter;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;/**
 *
 * @author wang
 */
@WebFilter(filterName = "permitFilter", urlPatterns = {"*.do"})
public class PermitFilter implements Filter {
    // 不用做权限判断的URL 
    private final static String[] user_canot_access_url = 
    {"login/adminHomePage.do", "signature/adminUserSignature.do","user/adminUserManager.do"};     public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
//      1、转化成http的请求和响应
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        String uri = httpRequest.getRequestURI();
        System.out.println(uri + ":do permit Filer!");//        2、取得session中的user，判断他的用户类型（user或者admin），限制user对管理员页面的访问
        HttpSession session = httpRequest.getSession();
        User user = (User) session.getAttribute("user");
        
//        3、//判断用户登录且用户类型是user
        if (user != null && user.getUser_type().equals("user")) {
            for(String u:user_canot_access_url){
                if(uri.endsWith(u)){
                    httpResponse.sendRedirect("/managerSystem/login/index.do");
                    return;
                }
            }           
        }        chain.doFilter(request, response);
    }    public void destroy() {
    }    /**
     * Init method for this filter
     */
    public void init(FilterConfig filterConfig) {
    }}