支持配置XSS跨站脚本过滤

RuoYi

2021-07-28 954d208ac6f1c26d008bf11cd7b2b66afac6cfd8

支持配置XSS跨站脚本过滤

 ruoyi-common/ruoyi-common-core/src/main/java/com/ruoyi/common/core/utils/html/EscapeUtil.java

New file
@@ -0,0 +1,155 @@
package com.ruoyi.common.core.utils.html;



import com.ruoyi.common.core.utils.StringUtils;



/**

 * 转义和反转义工具类

 * 
 * @author ruoyi

 */

public class EscapeUtil

{

    public static final String RE_HTML_MARK = "(<[^<]*?>)|(<[\\s]*?/[^<]*?>)|(<[^<]*?/[\\s]*?>)";



    private static final char[][] TEXT = new char[64][];



    static

    {

        for (int i = 0; i < 64; i++)

        {

            TEXT[i] = new char[] { (char) i };

        }



        // special HTML characters

        TEXT['\''] = "&#039;".toCharArray(); // 单引号

        TEXT['"'] = "&#34;".toCharArray(); // 双引号

        TEXT['&'] = "&#38;".toCharArray(); // &符

        TEXT['<'] = "&#60;".toCharArray(); // 小于号

        TEXT['>'] = "&#62;".toCharArray(); // 大于号

    }



    /**

     * 转义文本中的HTML字符为安全的字符

     * 
     * @param text 被转义的文本

     * @return 转义后的文本

     */

    public static String escape(String text)

    {

        return encode(text);

    }



    /**

     * 还原被转义的HTML特殊字符

     * 
     * @param content 包含转义符的HTML内容

     * @return 转换后的字符串

     */

    public static String unescape(String content)

    {

        return decode(content);

    }



    /**

     * 清除所有HTML标签，但是不删除标签内的内容

     * 
     * @param content 文本

     * @return 清除标签后的文本

     */

    public static String clean(String content)

    {

        return new HTMLFilter().filter(content);

    }



    /**

     * Escape编码

     * 
     * @param text 被编码的文本

     * @return 编码后的字符

     */

    private static String encode(String text)

    {

        int len;

        if ((text == null) || ((len = text.length()) == 0))

        {

            return StringUtils.EMPTY;

        }

        StringBuilder buffer = new StringBuilder(len + (len >> 2));

        char c;

        for (int i = 0; i < len; i++)

        {

            c = text.charAt(i);

            if (c < 64)

            {

                buffer.append(TEXT[c]);

            }

            else

            {

                buffer.append(c);

            }

        }

        return buffer.toString();

    }



    /**

     * Escape解码

     * 
     * @param content 被转义的内容

     * @return 解码后的字符串

     */

    public static String decode(String content)

    {

        if (StringUtils.isEmpty(content))

        {

            return content;

        }



        StringBuilder tmp = new StringBuilder(content.length());

        int lastPos = 0, pos = 0;

        char ch;

        while (lastPos < content.length())

        {

            pos = content.indexOf("%", lastPos);

            if (pos == lastPos)

            {

                if (content.charAt(pos + 1) == 'u')

                {

                    ch = (char) Integer.parseInt(content.substring(pos + 2, pos + 6), 16);

                    tmp.append(ch);

                    lastPos = pos + 6;

                }

                else

                {

                    ch = (char) Integer.parseInt(content.substring(pos + 1, pos + 3), 16);

                    tmp.append(ch);

                    lastPos = pos + 3;

                }

            }

            else

            {

                if (pos == -1)

                {

                    tmp.append(content.substring(lastPos));

                    lastPos = content.length();

                }

                else

                {

                    tmp.append(content.substring(lastPos, pos));

                    lastPos = pos;

                }

            }

        }

        return tmp.toString();

    }



    public static void main(String[] args)

    {

        String html = "<script>alert(1);</script>";

        // String html = "<scr<script>ipt>alert(\"XSS\")</scr<script>ipt>";

        // String html = "<123";

        // String html = "123>";

        System.out.println(EscapeUtil.clean(html));

        System.out.println(EscapeUtil.escape(html));

        System.out.println(EscapeUtil.unescape(html));

    }

}


 ruoyi-common/ruoyi-common-core/src/main/java/com/ruoyi/common/core/utils/html/HTMLFilter.java

New file
@@ -0,0 +1,570 @@
package com.ruoyi.common.core.utils.html;



import java.util.ArrayList;

import java.util.Collections;

import java.util.HashMap;

import java.util.List;

import java.util.Map;

import java.util.concurrent.ConcurrentHashMap;

import java.util.concurrent.ConcurrentMap;

import java.util.regex.Matcher;

import java.util.regex.Pattern;



/**

 * HTML过滤器，用于去除XSS漏洞隐患。

 *

 * @author ruoyi

 */

public final class HTMLFilter

{

    /**

     * regex flag union representing /si modifiers in php

     **/

    private static final int REGEX_FLAGS_SI = Pattern.CASE_INSENSITIVE | Pattern.DOTALL;

    private static final Pattern P_COMMENTS = Pattern.compile("<!--(.*?)-->", Pattern.DOTALL);

    private static final Pattern P_COMMENT = Pattern.compile("^!--(.*)--$", REGEX_FLAGS_SI);

    private static final Pattern P_TAGS = Pattern.compile("<(.*?)>", Pattern.DOTALL);

    private static final Pattern P_END_TAG = Pattern.compile("^/([a-z0-9]+)", REGEX_FLAGS_SI);

    private static final Pattern P_START_TAG = Pattern.compile("^([a-z0-9]+)(.*?)(/?)$", REGEX_FLAGS_SI);

    private static final Pattern P_QUOTED_ATTRIBUTES = Pattern.compile("([a-z0-9]+)=([\"'])(.*?)\\2", REGEX_FLAGS_SI);

    private static final Pattern P_UNQUOTED_ATTRIBUTES = Pattern.compile("([a-z0-9]+)(=)([^\"\\s']+)", REGEX_FLAGS_SI);

    private static final Pattern P_PROTOCOL = Pattern.compile("^([^:]+):", REGEX_FLAGS_SI);

    private static final Pattern P_ENTITY = Pattern.compile("&#(\\d+);?");

    private static final Pattern P_ENTITY_UNICODE = Pattern.compile("&#x([0-9a-f]+);?");

    private static final Pattern P_ENCODE = Pattern.compile("%([0-9a-f]{2});?");

    private static final Pattern P_VALID_ENTITIES = Pattern.compile("&([^&;]*)(?=(;|&|$))");

    private static final Pattern P_VALID_QUOTES = Pattern.compile("(>|^)([^<]+?)(<|$)", Pattern.DOTALL);

    private static final Pattern P_END_ARROW = Pattern.compile("^>");

    private static final Pattern P_BODY_TO_END = Pattern.compile("<([^>]*?)(?=<|$)");

    private static final Pattern P_XML_CONTENT = Pattern.compile("(^|>)([^<]*?)(?=>)");

    private static final Pattern P_STRAY_LEFT_ARROW = Pattern.compile("<([^>]*?)(?=<|$)");

    private static final Pattern P_STRAY_RIGHT_ARROW = Pattern.compile("(^|>)([^<]*?)(?=>)");

    private static final Pattern P_AMP = Pattern.compile("&");

    private static final Pattern P_QUOTE = Pattern.compile("\"");

    private static final Pattern P_LEFT_ARROW = Pattern.compile("<");

    private static final Pattern P_RIGHT_ARROW = Pattern.compile(">");

    private static final Pattern P_BOTH_ARROWS = Pattern.compile("<>");



    // @xxx could grow large... maybe use sesat's ReferenceMap

    private static final ConcurrentMap<String, Pattern> P_REMOVE_PAIR_BLANKS = new ConcurrentHashMap<>();

    private static final ConcurrentMap<String, Pattern> P_REMOVE_SELF_BLANKS = new ConcurrentHashMap<>();



    /**

     * set of allowed html elements, along with allowed attributes for each element

     **/

    private final Map<String, List<String>> vAllowed;

    /**

     * counts of open tags for each (allowable) html element

     **/

    private final Map<String, Integer> vTagCounts = new HashMap<>();



    /**

     * html elements which must always be self-closing (e.g. "<img />")

     **/

    private final String[] vSelfClosingTags;

    /**

     * html elements which must always have separate opening and closing tags (e.g. "<b></b>")

     **/

    private final String[] vNeedClosingTags;

    /**

     * set of disallowed html elements

     **/

    private final String[] vDisallowed;

    /**

     * attributes which should be checked for valid protocols

     **/

    private final String[] vProtocolAtts;

    /**

     * allowed protocols

     **/

    private final String[] vAllowedProtocols;

    /**

     * tags which should be removed if they contain no content (e.g. "<b></b>" or "<b />")

     **/

    private final String[] vRemoveBlanks;

    /**

     * entities allowed within html markup

     **/

    private final String[] vAllowedEntities;

    /**

     * flag determining whether comments are allowed in input String.

     */

    private final boolean stripComment;

    private final boolean encodeQuotes;

    /**

     * flag determining whether to try to make tags when presented with "unbalanced" angle brackets (e.g. "<b text </b>"

     * becomes "<b> text </b>"). If set to false, unbalanced angle brackets will be html escaped.

     */

    private final boolean alwaysMakeTags;



    /**

     * Default constructor.

     */

    public HTMLFilter()

    {

        vAllowed = new HashMap<>();



        final ArrayList<String> a_atts = new ArrayList<>();

        a_atts.add("href");

        a_atts.add("target");

        vAllowed.put("a", a_atts);



        final ArrayList<String> img_atts = new ArrayList<>();

        img_atts.add("src");

        img_atts.add("width");

        img_atts.add("height");

        img_atts.add("alt");

        vAllowed.put("img", img_atts);



        final ArrayList<String> no_atts = new ArrayList<>();

        vAllowed.put("b", no_atts);

        vAllowed.put("strong", no_atts);

        vAllowed.put("i", no_atts);

        vAllowed.put("em", no_atts);



        vSelfClosingTags = new String[] { "img" };

        vNeedClosingTags = new String[] { "a", "b", "strong", "i", "em" };

        vDisallowed = new String[] {};

        vAllowedProtocols = new String[] { "http", "mailto", "https" }; // no ftp.

        vProtocolAtts = new String[] { "src", "href" };

        vRemoveBlanks = new String[] { "a", "b", "strong", "i", "em" };

        vAllowedEntities = new String[] { "amp", "gt", "lt", "quot" };

        stripComment = true;

        encodeQuotes = true;

        alwaysMakeTags = false;

    }



    /**

     * Map-parameter configurable constructor.

     *

     * @param conf map containing configuration. keys match field names.

     */

    @SuppressWarnings("unchecked")

    public HTMLFilter(final Map<String, Object> conf)

    {



        assert conf.containsKey("vAllowed") : "configuration requires vAllowed";

        assert conf.containsKey("vSelfClosingTags") : "configuration requires vSelfClosingTags";

        assert conf.containsKey("vNeedClosingTags") : "configuration requires vNeedClosingTags";

        assert conf.containsKey("vDisallowed") : "configuration requires vDisallowed";

        assert conf.containsKey("vAllowedProtocols") : "configuration requires vAllowedProtocols";

        assert conf.containsKey("vProtocolAtts") : "configuration requires vProtocolAtts";

        assert conf.containsKey("vRemoveBlanks") : "configuration requires vRemoveBlanks";

        assert conf.containsKey("vAllowedEntities") : "configuration requires vAllowedEntities";



        vAllowed = Collections.unmodifiableMap((HashMap<String, List<String>>) conf.get("vAllowed"));

        vSelfClosingTags = (String[]) conf.get("vSelfClosingTags");

        vNeedClosingTags = (String[]) conf.get("vNeedClosingTags");

        vDisallowed = (String[]) conf.get("vDisallowed");

        vAllowedProtocols = (String[]) conf.get("vAllowedProtocols");

        vProtocolAtts = (String[]) conf.get("vProtocolAtts");

        vRemoveBlanks = (String[]) conf.get("vRemoveBlanks");

        vAllowedEntities = (String[]) conf.get("vAllowedEntities");

        stripComment = conf.containsKey("stripComment") ? (Boolean) conf.get("stripComment") : true;

        encodeQuotes = conf.containsKey("encodeQuotes") ? (Boolean) conf.get("encodeQuotes") : true;

        alwaysMakeTags = conf.containsKey("alwaysMakeTags") ? (Boolean) conf.get("alwaysMakeTags") : true;

    }



    private void reset()

    {

        vTagCounts.clear();

    }



    // ---------------------------------------------------------------

    // my versions of some PHP library functions

    public static String chr(final int decimal)

    {

        return String.valueOf((char) decimal);

    }



    public static String htmlSpecialChars(final String s)

    {

        String result = s;

        result = regexReplace(P_AMP, "&amp;", result);

        result = regexReplace(P_QUOTE, "&quot;", result);

        result = regexReplace(P_LEFT_ARROW, "&lt;", result);

        result = regexReplace(P_RIGHT_ARROW, "&gt;", result);

        return result;

    }



    // ---------------------------------------------------------------



    /**

     * given a user submitted input String, filter out any invalid or restricted html.

     *

     * @param input text (i.e. submitted by a user) than may contain html

     * @return "clean" version of input, with only valid, whitelisted html elements allowed

     */

    public String filter(final String input)

    {

        reset();

        String s = input;



        s = escapeComments(s);



        s = balanceHTML(s);



        s = checkTags(s);



        s = processRemoveBlanks(s);



        // s = validateEntities(s);



        return s;

    }



    public boolean isAlwaysMakeTags()

    {

        return alwaysMakeTags;

    }



    public boolean isStripComments()

    {

        return stripComment;

    }



    private String escapeComments(final String s)

    {

        final Matcher m = P_COMMENTS.matcher(s);

        final StringBuffer buf = new StringBuffer();

        if (m.find())

        {

            final String match = m.group(1); // (.*?)

            m.appendReplacement(buf, Matcher.quoteReplacement("<!--" + htmlSpecialChars(match) + "-->"));

        }

        m.appendTail(buf);



        return buf.toString();

    }



    private String balanceHTML(String s)

    {

        if (alwaysMakeTags)

        {

            //

            // try and form html

            //

            s = regexReplace(P_END_ARROW, "", s);

            // 不追加结束标签

            s = regexReplace(P_BODY_TO_END, "<$1>", s);

            s = regexReplace(P_XML_CONTENT, "$1<$2", s);



        }

        else

        {

            //

            // escape stray brackets

            //

            s = regexReplace(P_STRAY_LEFT_ARROW, "&lt;$1", s);

            s = regexReplace(P_STRAY_RIGHT_ARROW, "$1$2&gt;<", s);



            //

            // the last regexp causes '<>' entities to appear

            // (we need to do a lookahead assertion so that the last bracket can

            // be used in the next pass of the regexp)

            //

            s = regexReplace(P_BOTH_ARROWS, "", s);

        }



        return s;

    }



    private String checkTags(String s)

    {

        Matcher m = P_TAGS.matcher(s);



        final StringBuffer buf = new StringBuffer();

        while (m.find())

        {

            String replaceStr = m.group(1);

            replaceStr = processTag(replaceStr);

            m.appendReplacement(buf, Matcher.quoteReplacement(replaceStr));

        }

        m.appendTail(buf);



        // these get tallied in processTag

        // (remember to reset before subsequent calls to filter method)

        final StringBuilder sBuilder = new StringBuilder(buf.toString());

        for (String key : vTagCounts.keySet())

        {

            for (int ii = 0; ii < vTagCounts.get(key); ii++)

            {

                sBuilder.append("</").append(key).append(">");

            }

        }

        s = sBuilder.toString();



        return s;

    }



    private String processRemoveBlanks(final String s)

    {

        String result = s;

        for (String tag : vRemoveBlanks)

        {

            if (!P_REMOVE_PAIR_BLANKS.containsKey(tag))

            {

                P_REMOVE_PAIR_BLANKS.putIfAbsent(tag, Pattern.compile("<" + tag + "(\\s[^>]*)?></" + tag + ">"));

            }

            result = regexReplace(P_REMOVE_PAIR_BLANKS.get(tag), "", result);

            if (!P_REMOVE_SELF_BLANKS.containsKey(tag))

            {

                P_REMOVE_SELF_BLANKS.putIfAbsent(tag, Pattern.compile("<" + tag + "(\\s[^>]*)?/>"));

            }

            result = regexReplace(P_REMOVE_SELF_BLANKS.get(tag), "", result);

        }



        return result;

    }



    private static String regexReplace(final Pattern regex_pattern, final String replacement, final String s)

    {

        Matcher m = regex_pattern.matcher(s);

        return m.replaceAll(replacement);

    }



    private String processTag(final String s)

    {

        // ending tags

        Matcher m = P_END_TAG.matcher(s);

        if (m.find())

        {

            final String name = m.group(1).toLowerCase();

            if (allowed(name))

            {

                if (false == inArray(name, vSelfClosingTags))

                {

                    if (vTagCounts.containsKey(name))

                    {

                        vTagCounts.put(name, vTagCounts.get(name) - 1);

                        return "</" + name + ">";

                    }

                }

            }

        }



        // starting tags

        m = P_START_TAG.matcher(s);

        if (m.find())

        {

            final String name = m.group(1).toLowerCase();

            final String body = m.group(2);

            String ending = m.group(3);



            // debug( "in a starting tag, name='" + name + "'; body='" + body + "'; ending='" + ending + "'" );

            if (allowed(name))

            {

                final StringBuilder params = new StringBuilder();



                final Matcher m2 = P_QUOTED_ATTRIBUTES.matcher(body);

                final Matcher m3 = P_UNQUOTED_ATTRIBUTES.matcher(body);

                final List<String> paramNames = new ArrayList<>();

                final List<String> paramValues = new ArrayList<>();

                while (m2.find())

                {

                    paramNames.add(m2.group(1)); // ([a-z0-9]+)

                    paramValues.add(m2.group(3)); // (.*?)

                }

                while (m3.find())

                {

                    paramNames.add(m3.group(1)); // ([a-z0-9]+)

                    paramValues.add(m3.group(3)); // ([^\"\\s']+)

                }



                String paramName, paramValue;

                for (int ii = 0; ii < paramNames.size(); ii++)

                {

                    paramName = paramNames.get(ii).toLowerCase();

                    paramValue = paramValues.get(ii);



                    // debug( "paramName='" + paramName + "'" );

                    // debug( "paramValue='" + paramValue + "'" );

                    // debug( "allowed? " + vAllowed.get( name ).contains( paramName ) );



                    if (allowedAttribute(name, paramName))

                    {

                        if (inArray(paramName, vProtocolAtts))

                        {

                            paramValue = processParamProtocol(paramValue);

                        }

                        params.append(' ').append(paramName).append("=\"").append(paramValue).append("\"");

                    }

                }



                if (inArray(name, vSelfClosingTags))

                {

                    ending = " /";

                }



                if (inArray(name, vNeedClosingTags))

                {

                    ending = "";

                }



                if (ending == null || ending.length() < 1)

                {

                    if (vTagCounts.containsKey(name))

                    {

                        vTagCounts.put(name, vTagCounts.get(name) + 1);

                    }

                    else

                    {

                        vTagCounts.put(name, 1);

                    }

                }

                else

                {

                    ending = " /";

                }

                return "<" + name + params + ending + ">";

            }

            else

            {

                return "";

            }

        }



        // comments

        m = P_COMMENT.matcher(s);

        if (!stripComment && m.find())

        {

            return "<" + m.group() + ">";

        }



        return "";

    }



    private String processParamProtocol(String s)

    {

        s = decodeEntities(s);

        final Matcher m = P_PROTOCOL.matcher(s);

        if (m.find())

        {

            final String protocol = m.group(1);

            if (!inArray(protocol, vAllowedProtocols))

            {

                // bad protocol, turn into local anchor link instead

                s = "#" + s.substring(protocol.length() + 1);

                if (s.startsWith("#//"))

                {

                    s = "#" + s.substring(3);

                }

            }

        }



        return s;

    }



    private String decodeEntities(String s)

    {

        StringBuffer buf = new StringBuffer();



        Matcher m = P_ENTITY.matcher(s);

        while (m.find())

        {

            final String match = m.group(1);

            final int decimal = Integer.decode(match).intValue();

            m.appendReplacement(buf, Matcher.quoteReplacement(chr(decimal)));

        }

        m.appendTail(buf);

        s = buf.toString();



        buf = new StringBuffer();

        m = P_ENTITY_UNICODE.matcher(s);

        while (m.find())

        {

            final String match = m.group(1);

            final int decimal = Integer.valueOf(match, 16).intValue();

            m.appendReplacement(buf, Matcher.quoteReplacement(chr(decimal)));

        }

        m.appendTail(buf);

        s = buf.toString();



        buf = new StringBuffer();

        m = P_ENCODE.matcher(s);

        while (m.find())

        {

            final String match = m.group(1);

            final int decimal = Integer.valueOf(match, 16).intValue();

            m.appendReplacement(buf, Matcher.quoteReplacement(chr(decimal)));

        }

        m.appendTail(buf);

        s = buf.toString();



        s = validateEntities(s);

        return s;

    }



    private String validateEntities(final String s)

    {

        StringBuffer buf = new StringBuffer();



        // validate entities throughout the string

        Matcher m = P_VALID_ENTITIES.matcher(s);

        while (m.find())

        {

            final String one = m.group(1); // ([^&;]*)

            final String two = m.group(2); // (?=(;|&|$))

            m.appendReplacement(buf, Matcher.quoteReplacement(checkEntity(one, two)));

        }

        m.appendTail(buf);



        return encodeQuotes(buf.toString());

    }



    private String encodeQuotes(final String s)

    {

        if (encodeQuotes)

        {

            StringBuffer buf = new StringBuffer();

            Matcher m = P_VALID_QUOTES.matcher(s);

            while (m.find())

            {

                final String one = m.group(1); // (>|^)

                final String two = m.group(2); // ([^<]+?)

                final String three = m.group(3); // (<|$)

                // 不替换双引号为&quot;，防止json格式无效 regexReplace(P_QUOTE, "&quot;", two)

                m.appendReplacement(buf, Matcher.quoteReplacement(one + two + three));

            }

            m.appendTail(buf);

            return buf.toString();

        }

        else

        {

            return s;

        }

    }



    private String checkEntity(final String preamble, final String term)

    {



        return ";".equals(term) && isValidEntity(preamble) ? '&' + preamble : "&amp;" + preamble;

    }



    private boolean isValidEntity(final String entity)

    {

        return inArray(entity, vAllowedEntities);

    }



    private static boolean inArray(final String s, final String[] array)

    {

        for (String item : array)

        {

            if (item != null && item.equals(s))

            {

                return true;

            }

        }

        return false;

    }



    private boolean allowed(final String name)

    {

        return (vAllowed.isEmpty() || vAllowed.containsKey(name)) && !inArray(name, vDisallowed);

    }



    private boolean allowedAttribute(final String name, final String paramName)

    {

        return allowed(name) && (vAllowed.isEmpty() || vAllowed.get(name).contains(paramName));

    }

}

 ruoyi-gateway/src/main/java/com/ruoyi/gateway/config/properties/CaptchaProperties.java

@@ -17,19 +17,19 @@
    /**

     * 验证码开关

     */

    private boolean enabled;

    private Boolean enabled;



    /**

     * 验证码类型（math 数组计算 char 字符）

     */

    private String type;



    public boolean isEnabled()

    public Boolean getEnabled()

    {

        return enabled;

    }



    public void setEnabled(boolean enabled)

    public void setEnabled(Boolean enabled)

    {

        this.enabled = enabled;

    }


 ruoyi-gateway/src/main/java/com/ruoyi/gateway/config/properties/IgnoreWhiteProperties.java

@@ -13,7 +13,7 @@
 */

@Configuration

@RefreshScope

@ConfigurationProperties(prefix = "ignore")

@ConfigurationProperties(prefix = "security.ignore")

public class IgnoreWhiteProperties

{

    /**


 ruoyi-gateway/src/main/java/com/ruoyi/gateway/config/properties/XssProperties.java

New file
@@ -0,0 +1,48 @@
package com.ruoyi.gateway.config.properties;



import java.util.ArrayList;

import java.util.List;

import org.springframework.boot.context.properties.ConfigurationProperties;

import org.springframework.cloud.context.config.annotation.RefreshScope;

import org.springframework.context.annotation.Configuration;



/**

 * XSS跨站脚本配置

 * 
 * @author ruoyi

 */

@Configuration

@RefreshScope

@ConfigurationProperties(prefix = "security.xss")

public class XssProperties

{

    /**

     * Xss开关

     */

    private Boolean enabled;



    /**

     * 排除路径

     */

    private List<String> excludeUrls = new ArrayList<>();



    public Boolean getEnabled()

    {

        return enabled;

    }



    public void setEnabled(Boolean enabled)

    {

        this.enabled = enabled;

    }



    public List<String> getExcludeUrls()

    {

        return excludeUrls;

    }



    public void setExcludeUrls(List<String> excludeUrls)

    {

        this.excludeUrls = excludeUrls;

    }

}


 ruoyi-gateway/src/main/java/com/ruoyi/gateway/filter/CacheRequestFilter.java

@@ -16,6 +16,11 @@
import reactor.core.publisher.Flux;
import reactor.core.publisher.Mono;

/**
 * 获取body请求数据（解决流不能重复读取问题）
 * 
 * @author ruoyi
 */
@Component
public class CacheRequestFilter extends AbstractGatewayFilterFactory<CacheRequestFilter.Config>
{

 ruoyi-gateway/src/main/java/com/ruoyi/gateway/filter/ValidateCodeFilter.java

@@ -47,7 +47,7 @@
            ServerHttpRequest request = exchange.getRequest();



            // 非登录请求或验证码关闭，不处理

            if (!StringUtils.containsIgnoreCase(request.getURI().getPath(), AUTH_URL) || !captchaProperties.isEnabled())

            if (!StringUtils.containsIgnoreCase(request.getURI().getPath(), AUTH_URL) || !captchaProperties.getEnabled())

            {

                return chain.filter(exchange);

            }


 ruoyi-gateway/src/main/java/com/ruoyi/gateway/filter/XssFilter.java

New file
@@ -0,0 +1,101 @@
package com.ruoyi.gateway.filter;



import java.nio.charset.StandardCharsets;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.cloud.gateway.filter.GatewayFilterChain;

import org.springframework.cloud.gateway.filter.GlobalFilter;

import org.springframework.core.Ordered;

import org.springframework.core.io.buffer.DataBuffer;

import org.springframework.core.io.buffer.DataBufferUtils;

import org.springframework.core.io.buffer.NettyDataBufferFactory;

import org.springframework.http.HttpHeaders;

import org.springframework.http.HttpMethod;

import org.springframework.http.server.reactive.ServerHttpRequest;

import org.springframework.http.server.reactive.ServerHttpRequestDecorator;

import org.springframework.stereotype.Component;

import org.springframework.web.server.ServerWebExchange;

import com.ruoyi.common.core.utils.StringUtils;

import com.ruoyi.common.core.utils.html.EscapeUtil;

import com.ruoyi.gateway.config.properties.XssProperties;

import io.netty.buffer.ByteBufAllocator;

import reactor.core.publisher.Flux;

import reactor.core.publisher.Mono;



/**

 * 跨站脚本过滤器

 *

 * @author ruoyi

 */

@Component

public class XssFilter implements GlobalFilter, Ordered

{

    // 跨站脚本的 xss 配置，nacos自行添加

    @Autowired

    private XssProperties xss;



    @Override

    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain)

    {

        ServerHttpRequest request = exchange.getRequest();

        // GET DELETE 不过滤

        HttpMethod method = request.getMethod();

        if (method == null || method.matches("GET") || method.matches("DELETE"))

        {

            return chain.filter(exchange);

        }

        // excludeUrls 不过滤

        String url = request.getURI().getPath();

        if (StringUtils.matches(url, xss.getExcludeUrls()))

        {

            return chain.filter(exchange);

        }

        ServerHttpRequestDecorator httpRequestDecorator = requestDecorator(exchange);

        return chain.filter(exchange.mutate().request(httpRequestDecorator).build());



    }



    private ServerHttpRequestDecorator requestDecorator(ServerWebExchange exchange)

    {

        ServerHttpRequestDecorator serverHttpRequestDecorator = new ServerHttpRequestDecorator(exchange.getRequest())

        {

            @Override

            public Flux<DataBuffer> getBody()

            {

                Flux<DataBuffer> body = super.getBody();

                return body.map(dataBuffer -> {

                    byte[] content = new byte[dataBuffer.readableByteCount()];

                    dataBuffer.read(content);

                    DataBufferUtils.release(dataBuffer);

                    String bodyStr = new String(content, StandardCharsets.UTF_8);

                    // 防xss攻击过滤

                    bodyStr = EscapeUtil.clean(bodyStr);

                    // 转成字节

                    byte[] bytes = bodyStr.getBytes();

                    NettyDataBufferFactory nettyDataBufferFactory = new NettyDataBufferFactory(ByteBufAllocator.DEFAULT);

                    DataBuffer buffer = nettyDataBufferFactory.allocateBuffer(bytes.length);

                    buffer.write(bytes);

                    return buffer;

                });

            }



            @Override

            public HttpHeaders getHeaders()

            {

                HttpHeaders httpHeaders = new HttpHeaders();

                httpHeaders.putAll(super.getHeaders());

                // 由于修改了请求体的body，导致content-length长度不确定，因此需要删除原先的content-length

                httpHeaders.remove(HttpHeaders.CONTENT_LENGTH);

                httpHeaders.set(HttpHeaders.TRANSFER_ENCODING, "chunked");

                return httpHeaders;

            }



        };

        return serverHttpRequestDecorator;

    }



    @Override

    public int getOrder()

    {

        return -100;

    }

}


 ruoyi-gateway/src/main/java/com/ruoyi/gateway/service/impl/ValidateCodeServiceImpl.java

@@ -46,7 +46,7 @@
    public AjaxResult createCapcha() throws IOException, CaptchaException

    {

        AjaxResult ajax = AjaxResult.success();

        boolean captchaOnOff = captchaProperties.isEnabled();

        boolean captchaOnOff = captchaProperties.getEnabled();

        ajax.put("captchaOnOff", captchaOnOff);

        if (!captchaOnOff)

        {


 sql/ry_config_20210728.sql

File was renamed from sql/ry_config_20210727.sql
@@ -33,7 +33,7 @@

insert into config_info(id, data_id, group_id, content, md5, gmt_create, gmt_modified, src_user, src_ip, app_name, tenant_id, c_desc, c_use, effect, type, c_schema) values 
(1,'application-dev.yml','DEFAULT_GROUP','spring:\n  main:\n    allow-bean-definition-overriding: true\n  autoconfigure:\n    exclude: com.alibaba.druid.spring.boot.autoconfigure.DruidDataSourceAutoConfigure\n\n#请求处理的超时时间\nribbon:\n  ReadTimeout: 10000\n  ConnectTimeout: 10000\n\n# feign 配置\nfeign:\n  sentinel:\n    enabled: true\n  okhttp:\n    enabled: true\n  httpclient:\n    enabled: false\n  client:\n    config:\n      default:\n        connectTimeout: 10000\n        readTimeout: 10000\n  compression:\n    request:\n      enabled: true\n    response:\n      enabled: true\n\n# 暴露监控端点\nmanagement:\n  endpoints:\n    web:\n      exposure:\n        include: \'*\'\n','c07e6f7321493f6d5390d0a08bffb75a','2019-11-29 16:31:20','2020-12-21 15:29:24',NULL,'0:0:0:0:0:0:0:1','','','通用配置','null','null','yaml','null'),
(2,'ruoyi-gateway-dev.yml','DEFAULT_GROUP','spring:\n  redis:\n    host: localhost\n    port: 6379\n    password: \n  cloud:\n    gateway:\n      discovery:\n        locator:\n          lowerCaseServiceId: true\n          enabled: true\n      routes:\n        # 认证中心\n        - id: ruoyi-auth\n          uri: lb://ruoyi-auth\n          predicates:\n            - Path=/auth/**\n          filters:\n            # 验证码处理\n            - CacheRequestFilter\n            - ValidateCodeFilter\n            - StripPrefix=1\n        # 代码生成\n        - id: ruoyi-gen\n          uri: lb://ruoyi-gen\n          predicates:\n            - Path=/code/**\n          filters:\n            - StripPrefix=1\n        # 定时任务\n        - id: ruoyi-job\n          uri: lb://ruoyi-job\n          predicates:\n            - Path=/schedule/**\n          filters:\n            - StripPrefix=1\n        # 系统模块\n        - id: ruoyi-system\n          uri: lb://ruoyi-system\n          predicates:\n            - Path=/system/**\n          filters:\n            - StripPrefix=1\n        # 文件服务\n        - id: ruoyi-file\n          uri: lb://ruoyi-file\n          predicates:\n            - Path=/file/**\n          filters:\n            - StripPrefix=1\n# 安全配置\nsecurity:\n  captcha:\n    # 验证码开关\n    enabled: true\n    # 验证码类型\n    type: math\n\n# 不校验白名单\nignore:\n  whites:\n    - /auth/logout\n    - /auth/login\n    - /*/v2/api-docs\n    - /csrf\n','0cc99b85be8777f39a786cbb88206a58','2020-05-14 14:17:55','2021-07-27 12:31:59',NULL,'0:0:0:0:0:0:0:1','','','网关模块','null','null','yaml','null'),
(2,'ruoyi-gateway-dev.yml','DEFAULT_GROUP','spring:\n  redis:\n    host: localhost\n    port: 6379\n    password: \n  cloud:\n    gateway:\n      discovery:\n        locator:\n          lowerCaseServiceId: true\n          enabled: true\n      routes:\n        # 认证中心\n        - id: ruoyi-auth\n          uri: lb://ruoyi-auth\n          predicates:\n            - Path=/auth/**\n          filters:\n            # 验证码处理\n            - CacheRequestFilter\n            - ValidateCodeFilter\n            - StripPrefix=1\n        # 代码生成\n        - id: ruoyi-gen\n          uri: lb://ruoyi-gen\n          predicates:\n            - Path=/code/**\n          filters:\n            - StripPrefix=1\n        # 定时任务\n        - id: ruoyi-job\n          uri: lb://ruoyi-job\n          predicates:\n            - Path=/schedule/**\n          filters:\n            - StripPrefix=1\n        # 系统模块\n        - id: ruoyi-system\n          uri: lb://ruoyi-system\n          predicates:\n            - Path=/system/**\n          filters:\n            - StripPrefix=1\n        # 文件服务\n        - id: ruoyi-file\n          uri: lb://ruoyi-file\n          predicates:\n            - Path=/file/**\n          filters:\n            - StripPrefix=1\n\n# 安全配置\nsecurity:\n  # 验证码\n  captcha:\n    enabled: true\n    type: math\n  # 防止XSS攻击\n  xss:\n    enabled: true\n    excludeUrls:\n      - /system/notice\n  # 不校验白名单\n  ignore:\n    whites:\n      - /auth/logout\n      - /auth/login\n      - /*/v2/api-docs\n      - /csrf\n','4222c4f41631529567d83a6d8c1ba6d4','2020-05-14 14:17:55','2021-07-27 13:47:39',NULL,'0:0:0:0:0:0:0:1','','','网关模块','null','null','yaml','null'),
(3,'ruoyi-auth-dev.yml','DEFAULT_GROUP','spring: \r\n  redis:\r\n    host: localhost\r\n    port: 6379\r\n    password: \r\n','b7354e1eb62c2d846d44a796d9ec6930','2020-11-20 00:00:00','2021-02-28 21:06:58',NULL,'0:0:0:0:0:0:0:1','','','认证中心','null','null','yaml','null'),
(4,'ruoyi-monitor-dev.yml','DEFAULT_GROUP','# spring\r\nspring: \r\n  security:\r\n    user:\r\n      name: ruoyi\r\n      password: 123456\r\n  boot:\r\n    admin:\r\n      ui:\r\n        title: 若依服务状态监控\r\n','d8997d0707a2fd5d9fc4e8409da38129','2020-11-20 00:00:00','2020-12-21 16:28:07',NULL,'0:0:0:0:0:0:0:1','','','监控中心','null','null','yaml','null'),
(5,'ruoyi-system-dev.yml','DEFAULT_GROUP','# spring配置\r\nspring: \r\n  redis:\r\n    host: localhost\r\n    port: 6379\r\n    password: \r\n  datasource:\r\n    druid:\r\n      stat-view-servlet:\r\n        enabled: true\r\n        loginUsername: admin\r\n        loginPassword: 123456\r\n    dynamic:\r\n      druid:\r\n        initial-size: 5\r\n        min-idle: 5\r\n        maxActive: 20\r\n        maxWait: 60000\r\n        timeBetweenEvictionRunsMillis: 60000\r\n        minEvictableIdleTimeMillis: 300000\r\n        validationQuery: SELECT 1 FROM DUAL\r\n        testWhileIdle: true\r\n        testOnBorrow: false\r\n        testOnReturn: false\r\n        poolPreparedStatements: true\r\n        maxPoolPreparedStatementPerConnectionSize: 20\r\n        filters: stat,slf4j\r\n        connectionProperties: druid.stat.mergeSql\\=true;druid.stat.slowSqlMillis\\=5000\r\n      datasource:\r\n          # 主库数据源\r\n          master:\r\n            driver-class-name: com.mysql.cj.jdbc.Driver\r\n            url: jdbc:mysql://localhost:3306/ry-cloud?useUnicode=true&characterEncoding=utf8&zeroDateTimeBehavior=convertToNull&useSSL=true&serverTimezone=GMT%2B8\r\n            username: root\r\n            password: password\r\n          # 从库数据源\r\n          # slave:\r\n            # username: \r\n            # password: \r\n            # url: \r\n            # driver-class-name: \r\n      # seata: true    # 开启seata代理，开启后默认每个数据源都代理，如果某个不需要代理可单独关闭\r\n\r\n# seata配置\r\nseata:\r\n  # 默认关闭，如需启用spring.datasource.dynami.seata需要同时开启\r\n  enabled: false\r\n  # Seata 应用编号，默认为 ${spring.application.name}\r\n  application-id: ${spring.application.name}\r\n  # Seata 事务组编号，用于 TC 集群名\r\n  tx-service-group: ${spring.application.name}-group\r\n  # 关闭自动代理\r\n  enable-auto-data-source-proxy: false\r\n  # 服务配置项\r\n  service:\r\n    # 虚拟组和分组的映射\r\n    vgroup-mapping:\r\n      ruoyi-system-group: default\r\n  config:\r\n    type: nacos\r\n    nacos:\r\n      serverAddr: 127.0.0.1:8848\r\n      group: SEATA_GROUP\r\n      namespace:\r\n  registry:\r\n    type: nacos\r\n    nacos:\r\n      application: seata-server\r\n      server-addr: 127.0.0.1:8848\r\n      namespace:\r\n\r\n# mybatis配置\r\nmybatis:\r\n    # 搜索指定包别名\r\n    typeAliasesPackage: com.ruoyi.system\r\n    # 配置mapper的扫描，找到所有的mapper.xml映射文件\r\n    mapperLocations: classpath:mapper/**/*.xml\r\n\r\n# swagger配置\r\nswagger:\r\n  title: 系统模块接口文档\r\n  license: Powered By ruoyi\r\n  licenseUrl: https://ruoyi.vip','ac8913dee679e65bb7d482df5f267d4e','2020-11-20 00:00:00','2021-01-27 10:42:25',NULL,'0:0:0:0:0:0:0:1','','','系统模块','null','null','yaml','null'),