Загрузка файла в Struts2 вместе с токеном Spring CSRF

Кажется, лучше всего создать собственный реализация MultiPartRequest, которая делегирует Spring MultipartRequest. Вот пример реализации:

образец/SpringMultipartParser.java

package sample;

import java.io.File;
import java.io.IOException;
import java.util.ArrayList;
import java.util.Collections;
import java.util.Enumeration;
import java.util.List;
import java.util.Map.Entry;

import javax.servlet.http.HttpServletRequest;

import org.apache.struts2.dispatcher.multipart.MultiPartRequest;
import org.springframework.util.LinkedMultiValueMap;
import org.springframework.util.MultiValueMap;
import org.springframework.web.multipart.MultipartFile;
import org.springframework.web.multipart.MultipartHttpServletRequest;
import org.springframework.web.util.WebUtils;

import com.opensymphony.xwork2.util.logging.Logger;
import com.opensymphony.xwork2.util.logging.LoggerFactory;

public class SpringMultipartParser implements MultiPartRequest {
    private static final Logger LOG = LoggerFactory.getLogger(MultiPartRequest.class);

    private List<String> errors = new ArrayList<String>();

    private MultiValueMap<String, MultipartFile> multipartMap;

    private MultipartHttpServletRequest multipartRequest;

    private MultiValueMap<String, File> multiFileMap = new LinkedMultiValueMap<String, File>();

    public void parse(HttpServletRequest request, String saveDir)
            throws IOException {
        multipartRequest =
                WebUtils.getNativeRequest(request, MultipartHttpServletRequest.class);

        if(multipartRequest == null) {
            LOG.warn("Unable to MultipartHttpServletRequest");
            errors.add("Unable to MultipartHttpServletRequest");
            return;
        }
        multipartMap = multipartRequest.getMultiFileMap();
        for(Entry<String, List<MultipartFile>> fileEntry : multipartMap.entrySet()) {
            String fieldName = fileEntry.getKey();
            for(MultipartFile file : fileEntry.getValue()) {
                File temp = File.createTempFile("upload", ".dat");
                file.transferTo(temp);
                multiFileMap.add(fieldName, temp);
            }
        }
    }

    public Enumeration<String> getFileParameterNames() {
        return Collections.enumeration(multipartMap.keySet());
    }

    public String[] getContentType(String fieldName) {
        List<MultipartFile> files = multipartMap.get(fieldName);
        if(files == null) {
            return null;
        }
        String[] contentTypes = new String[files.size()];
        int i = 0;
        for(MultipartFile file : files) {
            contentTypes[i++] = file.getContentType();
        }
        return contentTypes;
    }

    public File[] getFile(String fieldName) {
        List<File> files = multiFileMap.get(fieldName);
        return files == null ? null : files.toArray(new File[files.size()]);
    }

    public String[] getFileNames(String fieldName) {
        List<MultipartFile> files = multipartMap.get(fieldName);
        if(files == null) {
            return null;
        }
        String[] fileNames = new String[files.size()];
        int i = 0;
        for(MultipartFile file : files) {
            fileNames[i++] = file.getOriginalFilename();
        }
        return fileNames;
    }

    public String[] getFilesystemName(String fieldName) {
        List<File> files = multiFileMap.get(fieldName);
        if(files == null) {
            return null;
        }
        String[] fileNames = new String[files.size()];
        int i = 0;
        for(File file : files) {
            fileNames[i++] = file.getName();
        }
        return fileNames;
    }

    public String getParameter(String name) {
        return multipartRequest.getParameter(name);
    }

    public Enumeration<String> getParameterNames() {
        return multipartRequest.getParameterNames();
    }

    public String[] getParameterValues(String name) {
        return multipartRequest.getParameterValues(name);
    }

    public List getErrors() {
        return errors;
    }

    public void cleanUp() {
        for(List<File> files : multiFileMap.values()) {
            for(File file : files) {
                file.delete();
            }
        }

        // Spring takes care of the original File objects
    }
}

Затем вам нужно убедиться, что Struts использует его. Вы можете сделать это в файле struts.xml, как показано ниже:

struts.xml

<constant name="struts.multipart.parser" value="spring"/>
<bean type="org.apache.struts2.dispatcher.multipart.MultiPartRequest" 
      name="spring" 
      class="sample.SpringMultipartParser"
      scope="default"/>

ВНИМАНИЕ: абсолютно необходимо убедиться, что новый экземпляр MultipartRequest создается для каждого составного запроса, правильно установив область действия bean-компонента, иначе вы увидите условия гонки.

После этого к вашим действиям Struts будет добавлена ​​информация о файле, как и раньше. Имейте в виду, что проверка файла (т. е. размера файла) теперь выполняется с помощью filterMultipartResolver, а не Struts.

Использование тем для автоматического включения токена CSRF

Вы можете рассмотреть возможность создания пользовательской темы, чтобы вы могли автоматически включать токен CSRF в формы. Для получения дополнительной информации о том, как это сделать, см. http://struts.apache.org/release/2.3.x/docs/themes-and-templates.html

Полный пример на Github

Вы можете найти полный рабочий образец на github по адресу https://github.com/rwinch/struts2-upload< /а>

Кодировка формы multipart/formdata предназначена для использования в сценариях загрузки файлов в соответствии с документация W3C:

Тип содержимого «multipart/form-data» следует использовать для отправки форм, содержащих файлы, данные, отличные от ASCII, и двоичные данные.

Класс MultipartResolver ожидает только загрузки файла, а не других полей формы, это из javadoc:

/**
 * A strategy interface for multipart file upload resolution in accordance
 * with <a href="http://www.ietf.org/rfc/rfc1867.txt">RFC 1867</a>.
 *
 */

Вот почему добавление CSRF в качестве поля формы не сработает. Обычный способ защитить запросы на загрузку файлов от атак CSRF — отправить токен CSRF в заголовке HTTP-запроса вместо тела POST. Для этого вам нужно сделать это ajax POST.

Для обычного POST это невозможно сделать, см. этот ответить. Либо сделайте POST запрос ajax и добавьте заголовок с некоторым Javascript, либо отправьте токен CSRF в качестве параметра URL, как вы упомянули.

Если токен CSRF часто регенерируется, как это должно быть в идеале между запросами, то отправка его в качестве параметра запроса не представляет проблемы и может быть приемлемой.

На стороне сервера вам нужно будет настроить решение CSRF для чтения токена из заголовка, это обычно предусмотрено используемым решением CSRF.

На первый взгляд ваша конфигурация кажется мне правильной. Поэтому я думаю, что проблема может заключаться в какой-то крошечной неправильной конфигурации.

Я столкнулся с аналогичной проблемой с Spring MVC вместо Struts, которую мне удалось решить с помощью команды Spring Security. Для получения полной информации см. этот ответ .

Вы также можете сравнить свою настройку с рабочим образцом, доступным на Github. Я тестировал это на Tomcat 7, JBoss AS 7, Jetty и Weblogic.

Я не пользователь Struts, но я думаю, вы можете использовать тот факт, что Spring MultipartFilter оборачивает запрос в файл MultipartHttpServletRequest.

Сначала возьмите HttpServletRequest, я думаю, в Struts вы можете сделать это примерно так:

ServletRequest request = ServletActionContext.getRequest();

Затем извлеките из него MultipartRequest, при необходимости завернув обертки:

MultipartRequest multipart = null;
while (multipart == null)
{
    if (request instanceof MultipartRequest)
        multipart = (MultipartRequest)request;
    else if (request instanceof ServletRequestWrapper)
        request = ((ServletRequestWrapper)request).getRequest();
    else
        break;                
}

Если этот запрос был составным, получите file по имени ввода формы:

if (multipart != null)
{
    MultipartFile mf = multipart.getFile("forminputname");
    // do your stuff
}