ESAPI配置文件自定义路径

女爷i 2023-01-13 04:15 736阅读 0赞

### 文章目录 ###

*  前言
 *  一、pom依赖
 *  二、ESAPI配置文件
 *   *  1.ESAPI.properties
     *  2.validation.properties
     *  3.esapi-java-logging.properties
     *  4.antisamy-esapi.xml
     *  5.配置文件放置位置
     *  6.自定义配置文件路径，封装ESAPI方法

--------------------

# 前言 #

网上有很多对ESAPI的上手讲解，但很少有讲的其原理通透的。我在这里梳理梳理。

--------------------

# 一、pom依赖 #

<dependency>
 <groupId>org.owasp.esapi</groupId>
 <artifactId>esapi</artifactId>
 <version>2.2.3.0</version>
 
 <exclusions>
 <exclusion>
 <groupId>org.slf4j</groupId>
 <artifactId>slf4j-simple</artifactId>
 </exclusion>
 </exclusions>
 </dependency>

为什么需要排除slf4j，因为我的项目中用了logback日志框架，如果不排除slf4j则项目中有两个日志实现框架，这样项目将启动失败。

# 二、ESAPI配置文件 #

官方配置文件都在github官网上。  
[ESAPI的github地址][ESAPI_github]

## 1.ESAPI.properties ##

ESAPI.printProperties=true
    
    # 这个地方是配置ESAPI的实现类，项目中用到那个就选择性配置即可
    ESAPI.Encoder=org.owasp.esapi.reference.DefaultEncoder
    ESAPI.Validator=org.owasp.esapi.reference.DefaultValidator
    
    # 以下是选择性配置，可以在官网找到对应的介绍
    ESAPI.Logger=org.owasp.esapi.logging.java.JavaLogFactory
    Encoder.AllowMultipleEncoding=false
    Encoder.AllowMixedEncoding=false
    Encoder.DefaultCodecList=HTMLEntityCodec,PercentCodec,JavaScriptCodec
    Logger.ApplicationName=ExampleApplication
    Logger.LogEncodingRequired=false
    Logger.LogApplicationName=true
    Logger.LogServerIP=true
    Logger.LogFileName=ESAPI_logging_file
    Logger.MaxLogFileSize=10000000
    Logger.UserInfo=true
    Logger.ClientInfo=true

## 2.validation.properties ##

Validator.SafeString=^[.\\p{ Alnum}\\p{ Space}]{ 0,1024}$
    Validator.Email=^[A-Za-z0-9._%'-]+@[A-Za-z0-9.-]+\\.[a-zA-Z]{2,4}$ Validator.IPAddress=^(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$ Validator.URL=^(ht|f)tp(s?)\\:\\/\\/[0-9a-zA-Z]([-.\\w]*[0-9a-zA-Z])*(:(0-9)*)*(\\/?)([a-zA-Z0-9\\-\\.\\?\\,\\:\\'\\/\\\\\\+=&;%\\$#_]*)?$
    Validator.CreditCard=^(\\d{ 4}[- ]?){ 3}\\d{ 4}$
    Validator.SSN=^(?!000)([0-6]\\d{ 2}|7([0-6]\\d|7[012]))([ -]?)(?!00)\\d\\d\\3(?!0000)\\d{ 4}$

## 3.esapi-java-logging.properties ##

handlers= java.util.logging.ConsoleHandler.level= INFO
    java.util.logging.ConsoleHandler.level = INFO
    java.util.logging.ConsoleHandler.formatter = java.util.logging.SimpleFormatter
    java.util.logging.SimpleFormatter.format=[%1$tF %1$tT] [%3$-7s] %5$s %n

## 4.antisamy-esapi.xml ##

<?xml version="1.0" encoding="ISO-8859-1"?>
 
 
 
 
 
 <anti-samy-rules xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="antisamy.xsd">
 
 <directives>
 <directive name="omitXmlDeclaration" value="true"/>
 <directive name="omitDoctypeDeclaration" value="true"/>
 <directive name="maxInputSize" value="500000"/>
 <directive name="embedStyleSheets" value="false"/>
 </directives>
 
 
 <common-regexps>
 
 
 
 <regexp name="htmlTitle" value="[a-zA-Z0-9\s-_',:\[\]!\./\\]*"/> 
 <regexp name="onsiteURL" value="([\w\\/\.\?=&;\#-~]+|\#(\w)+)"/>
 <regexp name="offsiteURL" value="(\s)*((ht|f)tp(s?)://|mailto:)[A-Za-z0-9]+[~a-zA-Z0-9-_\.@#$%&;:,\?=/\+!]*(\s)*"/>
 
 </common-regexps>
 
 
 
 
 
 <common-attributes>
 
 
 <attribute name="lang" description="The 'lang' attribute tells the browser what language the element's attribute values and content are written in">
 <regexp-list>
 <regexp value="[a-zA-Z]{2,20}"/>
 </regexp-list>
 </attribute>
 
 <attribute name="title" description="The 'title' attribute provides text that shows up in a 'tooltip' when a user hovers their mouse over the element">
 <regexp-list>
 <regexp name="htmlTitle"/>
 </regexp-list>
 </attribute>
 
 <attribute name="href" onInvalid="filterTag">
 <regexp-list>
 <regexp name="onsiteURL"/>
 <regexp name="offsiteURL"/>
 </regexp-list>
 </attribute>
 
 <attribute name="align" description="The 'align' attribute of an HTML element is a direction word, like 'left', 'right' or 'center'">
 <literal-list>
 <literal value="center"/>
 <literal value="left"/>
 <literal value="right"/>
 <literal value="justify"/>
 <literal value="char"/>
 </literal-list>
 </attribute>
 
 </common-attributes>
 
 
 
 
 <global-tag-attributes>
 <attribute name="title"/>
 <attribute name="lang"/>
 </global-tag-attributes>
 
 <tag-rules>
 
 <tag name="script" action="remove"/>
 <tag name="noscript" action="remove"/>
 
 
 <tag name="iframe" action="remove"/>
 <tag name="frameset" action="remove"/>
 <tag name="frame" action="remove"/>
 <tag name="noframes" action="remove"/>
 
 
 
 <tag name="p" action="validate">
 <attribute name="align"/>
 </tag>
 
 <tag name="div" action="validate"/>
 <tag name="i" action="validate"/>
 <tag name="b" action="validate"/>
 <tag name="em" action="validate"/>
 <tag name="blockquote" action="validate"/>
 <tag name="tt" action="validate"/>
 
 <tag name="br" action="truncate"/>
 
 
 <tag name="quote" action="validate"/>
 <tag name="ecode" action="validate"/>
 
 
 
 <tag name="a" action="validate">
 
 <attribute name="href" onInvalid="filterTag"/>
 <attribute name="nohref">
 <literal-list>
 <literal value="nohref"/>
 <literal value=""/>
 </literal-list>
 </attribute>
 <attribute name="rel">
 <literal-list>
 <literal value="nofollow"/>
 </literal-list>
 </attribute>
 </tag>
 
 
 <tag name="ul" action="validate"/>
 <tag name="ol" action="validate"/>
 <tag name="li" action="validate"/>
 
 </tag-rules>
 
 
 <css-rules>
 </css-rules>
 </anti-samy-rules>

## 5.配置文件放置位置 ##

如果我们对配置文件路径没有自定义配置，那么ESAPI会从默认路径中读取配置文件。  
默认路径如下：

*  esapi.jar路径：Not found in ‘org.owasp.esapi.resources’ directory or file not readable
 *  系统资源路径: Not found in SystemResource Directory/resourceDirectory: .esapi\\validation.properties
 *  系统user.name目录: Not found in ‘user.home’ (C:\\Users\\myhome) directory: C:\\Users\\myhome\\esapi\\validation.properties

我们如果把配置文件放在以上默认读取路径上，ESAPI读取到配置文件后也是可以正常执行的。但关键是这并不能满足我们的要求，我们希望项目在打包时把配置文件打进jar包、war包。  
ESAPI的设计者也一定想到了这一点，所以给了我们设置自定义配置文件路径的方式。

`默认读取的配置方法:`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70]  
如果不自定义配置，那么ESAPI将走这个默认配置。而默认实现是 DefaultSecurityConfiguration。这个配置文件的读取配置文件的方式是：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 1]

// 此时我们如果把配置文件放在/src/main/resource目录下
    this.getResourceFile(filename);
    // 读取不到我们的配置文件，因为他的类加载方式与springBoot不一样。具体没有深究，研究完类加载机制的双亲委派模型之后再来补充。

`思路： 所以我们只要重写这个方法，并将我们重写的配置类在ESAPI加载即可大功告成`

1.  第一步我们先重写读取配置的方法

package com.github.common.config;
    
    import org.owasp.esapi.reference.DefaultSecurityConfiguration;
    
    import java.io.IOException;
    import java.io.InputStream;
    
    /** * 重写ESAPI读取配置文件方法 * * @author utrix */
    public class ESAPIConfiguration extends DefaultSecurityConfiguration { 
        @Override
        public InputStream getResourceStream(String filename) throws IOException { 
        	// 通过类加载器读取resource目录下的配置文件，这个filename就是ESAPI.properties
            return ClassLoader.getSystemResourceAsStream(filename);
        }
    
    }

1.  第二步使我们的重写方法生效

此时就要看在ESAPI的配置实现是在哪里赋值的了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 2]  
重写配置的静态方法：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 3]

至此我们理清了思路，只要通过ESAPI的override()方法注入我们自定义的ESAPIConfiguration 类即可。

## 6.自定义配置文件路径，封装ESAPI方法 ##

package com.github.util;
    
    import cn.hutool.core.util.StrUtil;
    import com.github.pig.admin.common.config.ESAPIConfiguration;
    import lombok.SneakyThrows;
    import org.owasp.esapi.ESAPI;
    import org.owasp.esapi.Validator;
    
    /** * ESAPI工具类 * * @author utrix */
    public class EsapiUtil { 
    
        private static final Validator VALIDATOR;
        /** * 请求体最大报文长度10万字符 */
        private static final int MAX_MESSAGE_LENGTH = 10 * 10000;
    
        static { 
        	// 通过静态方法注入我们重写读取配置文件的类
            ESAPI.override(new ESAPIConfiguration());
            VALIDATOR = ESAPI.validator();
        }
    
        /** * 对输入的文本，如果存在xss攻击，则转义 * * @param str 输入的文本 * @return java.lang.String 如果输入的为空，则返回 */
        @SneakyThrows
        public static String xssEncode(String str) { 
            return StrUtil.isEmpty(str) ? str : VALIDATOR.getValidSafeHTML(EsapiUtil.class.getSimpleName(), str, MAX_MESSAGE_LENGTH, true);
        }
    
    }

至此：我们就可以把ESAPI的配置文件放到项目/src/main/resource目录下，并打入jar、war包了

--------------------

**（本文完！）如需引用文章内容，必须付原文链接！**

[ESAPI_github]: https://github.com/ESAPI/esapi-java-legacy
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70]: /images/20221022/95582b752aa34fae84d9476813938033.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 1]: /images/20221022/11ff5753009440d2a02d199495f00633.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 2]: /images/20221022/5d217d07033247ec9cd164e801cc7fc1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N1b2xvbmdkc2U_size_16_color_FFFFFF_t_70 3]: /images/20221022/3fe86ca2db4f4024ac1f378a1b1a539f.png