快捷導(dǎo)航

spring mvc中直接注入的HttpServletRequst安全嗎

更新時間：2018年04月10日 09:40:08 作者：何錦彬

這篇文章主要給大家介紹了關(guān)于spring mvc中直接注入的HttpServletRequst是不是安全的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面來一起看看吧。

HttpServletRequest介紹

HttpServletRequest對象代表客戶端的請求，當(dāng)客戶端通過HTTP協(xié)議訪問服務(wù)器時，HTTP請求頭中的所有信息都封裝在這個對象中，通過這個對象提供的方法，可以獲得客戶端請求的所有信息。

引言

本文主要介紹的是關(guān)于spring mvc直接注入HttpServletRequst安全的相關(guān)內(nèi)容，看似很簡單的一個問題，借此追蹤下spring的源碼處理

在寫springMVC的Control中有很多這種代碼, 如需要獲取request對象去做某些事情

如：

@Controller
@RequestMapping(value = "/user")
public class LoanActionPage extends AbstractAction {
@RequestMapping(value = "/page/active")
public String loanAaccountActivePage(HttpServletRequest request) {
// get request to dosomething
String pathInfo = request.getPathInfo();
return "active";
}
}

貌似每次要寫個control時都得把request當(dāng)住參數(shù)來傳，很是冗余。

其實(shí)可以在control里定義一個request對象，注入，然后隨時用

如：

public class AbstractAction {
 @Autowired
protected HttpServletRequest request;
... ...

然后在control中直接用：

@Controller
@RequestMapping(value = "/user") 
public class LoanActionPage extends AbstractAction {

@RequestMapping(value = "/page/active") 
public String loanAaccountActivePage() { 
// get request to dosomething
String pathInfo = request.getPathInfo();
return "active"; 
}
}

那么問題來了，sevlet是多線程的，每次請求的request其實(shí)是個新的對象，這樣直接共享引用，是否會造成線程不安全呢?

方便了，問題也來了，servelt其實(shí)是多線程，共享一個request是否會有安全問題呢，分析下spring的代碼

1, 注入的request何處來?

發(fā)現(xiàn)是注入其實(shí)是往WebApplicationContextUtils通過RequestObjectFactory拿值，跟蹤

返回的是RequestContextHolder里的值. 追蹤RequestContextHolder

每次返回的其實(shí)是， RequestAttributes的實(shí)現(xiàn)類ServletWebRequest(ServletRequestAttributes)里的request. 因?yàn)镽equestAttributes是屬于threadLocal的，所以注入的request也是線程安全的了

2, spring何時設(shè)置的request對象?

HttpServlet實(shí)現(xiàn)類 FrameworkServlet-> service()->processRequst()