Sa-Token对url过滤不全存在的风险点

文章预览

下载地址：https://github.com/dromara/Sa-Token 使用文档：https://sa-token.cc/doc.html#/start/example 使用request.getRequestURI() 获取url： 更改com.pj.satoken.SaTokenConfigure#getSaServletFilter函数， 放行js后缀的路径和登录入口/acc/doLogin，其他的路径均需登录之后才能访问， . addInclude ( "/**" ). addExclude ( "/**/*.js" , "/acc/doLogin" ) // 认证函数: 每次请求执行 . setAuth ( obj -> { // SaManager.getLog().debug("----- 请求path={} 提交token={}", SaHolder.getRequest().getRequestPath(), StpUtil.getTokenValue()); // 检查用户是否登录 if (! StpUtil . isLogin ()) { // 如果未登录，抛出异常或返回拒绝访问的错误 throw new SaTokenException ( "没有登录" ); } }) cn.dev33.satoken.filter.SaPathCheckFilterForServ ………………………………