服务器之家：专注于服务器技术及软件下载分享
分类导航

云服务器|WEB服务器|FTP服务器|邮件服务器|虚拟主机|服务器安全|DNS服务器|服务器知识|Nginx|IIS|Tomcat|

服务器之家 - 服务器技术 - Tomcat - 详解Tomcat常用的过滤器

详解Tomcat常用的过滤器

2021-09-26 16:14JJian Tomcat

过滤器Filter是定义于tomcat的servlet-api.jar中的一个接口，接口路径为javax.servlet.Filter。tomcat过滤器采用了典型的过滤器设计模式，过滤器链FilterChain由tomcat维持，链条是可以支持多个过滤器的

一、跨域过滤器CorsFilter

org.apcache.catalina.filters.CorsFilter是跨域资源共享规范的一个实现，常常用于前后端分离，静态资源与后端分离等情况。它主要在HttpServletResponse中增加Access-Control-*头，同时保护HTTP响应避免拆分，如果请求无效或者禁止访问，则返回403响应码。

1.1、配置示例

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
<filter>
  <filter-name>CorsFilter</filter-name>
  <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
  <init-param>
    <param-name>cors.allowed.origins</param-name>
    <param-value>*</param-value>
  </init-param>
  <init-param>
    <param-name>cors.allowed.methods</param-name>
    <param-value>GET,POST,HEAD,OPTIONS,PUT</param-value>
  </init-param>
  <init-param>
    <param-name>cors.allowed.headers</param-name>
    <param-value>Content-Type,X-Requested-With,accept,Origin,Access-Control-Request-Method,Access-Control-Request-Headers</param-value>
  </init-param>
  <init-param>
    <param-name>cors.exposed.headers</param-name>
    <param-value>Access-Control-Allow-Origin,Access-Control-Allow-Credentials</param-value>
  </init-param>
  <init-param>
    <param-name>cors.support.credentials</param-name>
    <param-value>true</param-value>
  </init-param>
  <init-param>
    <param-name>cors.preflight.maxage</param-name>
    <param-value>10</param-value>
  </init-param>
</filter>
<filter-mapping>
  <filter-name>CorsFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

1.2、参数说明

1、cors.allowed.origins

允许访问的跨域资源列表，"*"表示允许访问来自任何域的资源，多个域用逗号分隔，默认为"*"

2、cors.allowed.methods

可以用于访问资源的HTTP方法列表，","分隔，用于跨域请求。这些方法将出现在Prefligh（预检请求）响应头Access-Control-Allow-Methods的一部分，t默认为"GET, POST, HEAD, OPTIONS"

3、cors.allowed.headers

构造请求时可以使用的请求头，以","分隔，这些方法将出现在Prefligh（预检请求）响应头Access-Control-Allow-Headers的一部分，默认为Origin, Accept, X-Requested-With, Content-Type, Access-Control-Request-Method, Access-Control-Request-Headers

4、cors.exposed.headers

浏览器允许访问的头部信息列表，","分隔。这些方法将出现在Prefligh（预检请求）响应头Access-Control-Allow-Headers的一部分，默认为空。

5、cors.preflight.maxage

浏览器允许缓存的Preflght请求结果的时间，单位为秒。如果为负数，则表示CorsFilter不会添加头到Preflight响应，这些方法将出现在Prefligh（预检请求）响应头Access-Control-Max-Age的一部分，默认为1800.

6、cors.support.credentials

表示资源是否支持用户证书，这些方法将出现在Prefligh（预检请求）响应头Access-Control-Allow-Credentials的一部分，默认为true

7、cors.request.decorate

Cors规范属性是否已经添加到HttpServletRequest，默认为true。CorsFiter会为HttpServletRequest添加请求相关信息，cors.request.decorate配置为true，那么以下属性将会被添加

1）cors.isCorsRequest:用于请求是否为Cors请求。

2）cors.request.origin:源URL，请求源自的页面URL。

3）cors.request.type:Cors的请求类型，如下：

SIMPLE:非Preflight请求为先导的请求。

ACTUAL:以Preflight请求为先导的请求。

PRE_FLIGHT:Preflight请求

NOT_CORS:正常同域请求

INVALID_CORS:无效的域请求

4）cors.request.headers:作为Preflight请求Access-Control-Request-Header头发送的请求头信息。

二、CSRF保护过滤器CsrfPreventionFilter

org.apcache.catalina.filters.CsrfPreventionFilter为Web应用提供了基本的CSRF保护。返回的客户端的所有链接均通过HttpServletResponse.encodeRedirectURL(String)与HttpServletResponse.encodeURL(String)进行编码，该过滤器生成一个随机数并存储到会话session中进行对比，URL使用该随机数进行编码。当接收到下一个请求时，请求中随机数与会话中的进行对比，只有两者相同时，请求才会被允许。

2.1、配置示例

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<filter>
    <filter-name>CsrfPreventionFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CsrfPreventionFilter</filter-class>
    <init-param>
        <param-name>denyStatus</param-name>
        <param-value>403</param-value>
    </init-param>
    <init-param>
        <param-name>entryPoints</param-name>
        <param-value>/html,/html/list</param-value>
    </init-param>
    <init-param>
        <param-name>nonceCacheSize</param-name>
        <param-value>5</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CsrfPreventionFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

2.2、参数说明

1、denyStatus：HTTP响应吗，用于驳回拒绝请求，默认为403　　

2、entryPoints：以","为分隔的URL列表，这些列表将不会进行随机数检测（主要用于通过导航离开受保护应用，之后再返回）　

?
1
2
3
if ("GET".equals(req.getMethod()) && this.entryPoints.contains(this.getRequestedPath(req))) {
                skipNonceCheck = true;
 }

3、nonceCacheSize：随机数缓存大小。先前发布的随机数被缓存到一个LRU缓存中以支持并发请求，有限的用于浏览器刷新等行为（可能导致随机数不是当前的），默认为5

?
1
2
3
4
5
6
7
8
9
10
private int nonceCacheSize = 5;
....
if (nonceCache == null) {
  　　nonceCache = new CsrfPreventionFilter.LruCache(this.nonceCacheSize);
      if (session == null) {
           session = req.getSession(true);
     　　}
 
    session.setAttribute("org.apache.catalina.filters.CSRF_NONCE", nonceCache);
}

4、randomClass：用于生成随机数的类，必须是java.util.Random实例，如不设置默认为java.security.SecureRandom

三、防止参数丢失过滤器FailedRequestFilter

org.apcache.catalina.filters.FailedRequestFilter用于触发请求的参数解析，当参数解析失败时，将会拒绝请求，该Filter用于确保客户端提交的参数信息不发生丢失。该过滤器的原理是：先调用ServletRequest.getParameter（首次调用会触发Tomcat服务器的请求参数解析，如果参数解析失败，将结果放到请求属性org.apache.catalina.parameter_parse_failed中），之后判断属性org.apache.catalina.parameter_parse_failed的值，如果不为空则直接返回400。

为了能正确解析参数，需要该Filter之前设置字符集编码过滤器SetCharacterEncodingFilter。此外，该过滤器是不支持r初始化参数的

?
1
2
3
4
5
// 判断是否为有效的请求：org.apache.catalina.parameter_parse_failed为null
private boolean isGoodRequest(ServletRequest request) {
    request.getParameter("none");
    return request.getAttribute("org.apache.catalina.parameter_parse_failed") == null;
}

四、获取客户端IP过滤器RemoteAddrFilter

org.apcache.catalina.filters.RemoteAddrFiler允许比较提交的客户端IP地址（通过ServletRequest.getRemoteAddr获取）是否符合指定正则表达式。

4.1、配置示例

?
1
2
3
4
5
6
7
8
9
10
11
12
<filter>
    <filter-name>Remote Address Filter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteAddrFilter</filter-class>
    <init-param>
    <param-name>allow</param-name>
    <param-value>127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>Remote Address Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

4.2、参数说明　　

1、allow：指定允许访问的客户端IP地址　　

2、deny：拒绝访问的客户端地址　　

3、denyStatus：拒绝请求时返回的HTTP响应吗。

五、获取客户端Host过滤器RemoteHostFilter

org.apcache.catalina.filters.RemoteHostFiler允许比较提交请求的客户端主机名是否符合指定的正则表达式，以确定是否允许继续处理请求。参数同RemoteAddrFilter

六、获取原始客户端IP过滤器RemoteIpFilter

 当客户端通过HTTP代理或者负载均衡访问服务器时，对于服务器来说，请求直接源自前置的代理服务器，此时获取到的远程IP实际为代理服务器的IP地址。

6.1、如何获得原始的客户端的IP地址

HTTP协议通过X-Forwarded-For头信息记录了资客户端到应用服务器前置代理的IP地址，RemoteIpFilter通过解析该请求头，将请求中的IP地址与主机名替换为客户端真实的IP地址和主机信息，此外还可以通过X-Forwardred-Proto请求头替换当前的协议名称http/https、服务器端口及request.secure。

X-Forwarded-For的格式如下：

X-Forwarded-For: client, proxy1, proxy2

最左侧client为最原始的客户端IP，如上示例中客户端经过了proxy1、proxy2、proxy3三级代理（最后一层proxy3不显示，通过ServletRquest.getRemoteAddr获取）。在负载均衡的情况下，RemoteAddrFilter和RemoteHostFilter需要与该过滤器配合使用，否则无法正确限制访问客户端。

通常我们获取X-Forwarded-For使用如下Java代码：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
public static String getIp(HttpServletRequest request) {
    String requestAddr = request.getHeader("x-forwarded-for");
    if (requestAddr == null || requestAddr.length() == 0 || "unknown".equalsIgnoreCase(requestAddr)) {
        requestAddr = request.getHeader("Proxy-Client-IP");
    }
 
    if (requestAddr == null || requestAddr.length() == 0 || "unknown".equalsIgnoreCase(requestAddr)) {
        requestAddr = request.getHeader("WL-Proxy-Client-IP");
    }
 
    if (requestAddr == null || requestAddr.length() == 0 || "unknown".equalsIgnoreCase(requestAddr)) {
        requestAddr = request.getRemoteAddr();
    }
 
    return requestAddr;
}

6.2、配置示例

1）基本处理X-Forwarded-For头的配置

?
1
2
3
4
5
6
7
8
9
10
<filter>
    <filter-name>RemoteIpFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteIpFilter</filter-class>
</filter>
 
<filter-mapping>
    <filter-name>RemoteIpFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
</filter-mapping>

2）处理X-Forwarded-For与x-forwarded-proto头部的配置

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
<filter>
    <filter-name>RemoteIpFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteIpFilter</filter-class>
    <init-param>
    <param-name>protocolHeader</param-name>
    <param-value>x-forwarded-proto</param-value>
    </init-param>
</filter>
 
<filter-mapping>
    <filter-name>RemoteIpFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
</filter-mapping>

3）使用内部代理的高级配置

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<filter>
    <filter-name>RemoteIpFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteIpFilter</filter-class>
    <init-param>
        <param-name>allowedInternalProxies</param-name>
        <param-value>192\.168\.0\.10|192\.168\.0\.11</param-value>
    </init-param>
    <init-param>
        <param-name>remoteIpHeader</param-name>
        <param-value>x-forwarded-for</param-value>
    </init-param>
    <init-param>
        <param-name>remoteIpProxiesHeader</param-name>
        <param-value>x-forwarded-by</param-value>
    </init-param>
    <init-param>
        <param-name>protocolHeader</param-name>
        <param-value>x-forwarded-proto</param-value>
    </init-param>
</filter>

4）使用可信任代理高级配置

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<filter>
    <filter-name>RemoteIpFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteIpFilter</filter-class>
    <init-param>
        <param-name>allowedInternalProxies</param-name>
        <param-value>192\.168\.0\.10|192\.168\.0\.11</param-value>
    </init-param>
    <init-param>
        <param-name>remoteIpHeader</param-name>
        <param-value>x-forwarded-for</param-value>
    </init-param>
    <init-param>
        <param-name>remoteIpProxiesHeader</param-name>
        <param-value>x-forwarded-by</param-value>
    </init-param>
    <init-param>
        <param-name>trustedProxies</param-name>
        <param-value>proxy1|proxy2</param-value>
    </init-param>
</filter>

七、字符集编码过滤器SetCharacterEncodingFilter

提供了一种设置字符集编码的方式，通常情况下默认ISO-8859-1编码，但实际生产环境推荐使用UTF-8编码，而请求中的编码可以在未指定编码时使用，也可以强制覆盖。

7.1、配置示例

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
<filter>
    <filter-name>SetCharacterEncodingFilter</filter-name>
    <filter-class>org.apache.catalina.filters.SetCharacterEncodingFilter</filter-class>
    <init-param>
        <param-name>encoding</param-name>
        <param-value>UTF-8</param-value>
    </init-param>
    <init-param>
        <param-name>ignore</param-name>
        <param-value>false</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>SetCharacterEncodingFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

7.2、参数说明　　

1、encoding：指定的字符集编码　　　　

2、ignore：表示是否忽略客户端请求设置的字符集编码，如果为true那么都会将请求字符集编码覆盖，如果为false，请求没有指定字符集编码时设置。默认为false

以上就是详解Tomcat常用的过滤器的详细内容，更多关于Tomcat过滤器的资料请关注服务器之家其它相关文章！

原文链接：https://www.cnblogs.com/jian0110/p/10512188.html

  • 过滤器
  • Tomcat

    • 延伸 · 阅读

    精彩推荐
    • TomcatTomcat服务器的安全设置

      Tomcat服务器的安全设置

      tomcat是一个开源Web服务器，基于Tomcat的Web运行效率高，可以在一般的硬件平台上流畅运行，因此，颇受Web站长的青睐。不过，在默认配置下其存在一定的安...

      IT专家网9002021-08-03
    • TomcatTomcat整体结构简单介绍

      Tomcat整体结构简单介绍

      这篇文章主要介绍了Tomcat整体结构简单介绍,Tomcat的本质是一个Servlet容器。一个Servlet能做的事情是：处理请求资源，并为客户端填充response对象,需要的朋友...

      叫我田露也行12302021-09-07
    • TomcatEclipse创建tomcat实现过程原理详解

      Eclipse创建tomcat实现过程原理详解

      这篇文章主要介绍了Eclipse创建tomcat实现过程原理详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以...

      海绵般汲取11642021-09-16
    • TomcatTomcat CentOS安装实现过程图解

      Tomcat CentOS安装实现过程图解

      这篇文章主要介绍了Tomcat CentOS安装实现过程图解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考...

      agrin5842021-09-15
    • TomcatTomcat安装配置方法图文教程

      Tomcat安装配置方法图文教程

      这篇文章主要为大家详细介绍了Tomcat安装配置方法图文教程，java环境变量如何配置，Eclipse安装配置方法图文教程 ，为大家分享了三个教程，感兴趣的小伙...

      Tomcat教程网13292021-08-11
    • Tomcat解决Tomcat的maxPostSize属性的配置需要注意的问题

      解决Tomcat的maxPostSize属性的配置需要注意的问题

      这篇文章主要介绍了解决Tomcat的maxPostSize属性的配置需要注意的问题，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值,需要的朋...

      life is wonderful12012021-09-13
    • Tomcat一次tomcat源码启动控制台中文乱码的调试过程记录

      一次tomcat源码启动控制台中文乱码的调试过程记录

      平时在使用tomcat做一些服务的时候经常遇到各种乱码问题，下面这篇文章主要给大家介绍了一次tomcat源码启动控制台中文乱码的调试过程，需要的朋友可以...

      zhoutaoping199211852021-09-24
    • Tomcat如何查看tomcat的控制台输出的方法

      如何查看tomcat的控制台输出的方法

      这篇文章主要介绍了如何查看tomcat的控制台输出的方法,小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧...

      CaiCaiNeo11932021-08-29
    最近更新
    编辑推荐
    阅读排行
    热门标签
    tomcat7w.exe 　 无效端口 　 maxPostSize 　 JSP文件 　 Tomcat卸载 　 Tomcat部署 　 多机 　 jsvc 　 数据报 　 发布路径 　 shutdown.bat 　 redirectPort 　 ManagerServlet 　 java.util.zip.ZipException 　 加密网站 　 catalina.out 　 server.xml 　 Tomcat优化 　 管理平台 　 exploded 　 SecureRandom 　 部署项目 　 unregister 　 tomcat9 　 APR 　 workDir 　 docBase 　 腾讯云主机 　 默认页 　 Tomcat7.0 　
    © 2019-2024 服务器之家(www.zzvips.com) 版权所有关于我们联系我们版权申明网站地图