swagger关闭/v2/api-docs仍然可以访问漏洞

今天接到安全团队的说swagger有未授权访问漏洞，即使在swagger关闭的情况下http://127.0.0.1:8086/agcloud/v2/api-docs?group=用户关联信息模块仍然还能访问。

看了下原来是有写一个拦截器

1.  
   registry.addInterceptor(loginInterceptor).addPathPatterns("/v2/api-docs");
2.  
   registry.addInterceptor(loginInterceptor).addPathPatterns("/swagger-ui.html");

断点之后发现是有生效的，/swagger-ui.html不能再访问，但是/v2/api-docs路径还是可以访问，确定拦截器有生效，不是拦截器的问题。

查看基于springMVC请求入口找到DispatcherServlet类，找到doDispatch方法

1.  
   protected void doDispatch(HttpServletRequest request, HttpServletResponse response) throws Exception {
2.  
   ......
3.  
   try {
4.  
   // HandlerMapping根据请求路径选择对应的handler（controller下的某个方法）来处理当前请求
5.  
   // 补充下HandlerMapping：
6.  
   // 1. 根据当前请求的找到对应的 Handler，
7.  
   // 2. 将 Handler（执行程序）与一堆 HandlerInterceptor（拦截器）封装到 HandlerExecutionChain 对象中
8.  
   // 3. DispatcherServlet会从容器中取出所有HandlerMapping实例并遍历，让HandlerMapping实例根据自己实现类的方式去尝试查找Handler
9.  
   mappedHandler = getHandler(processedRequest);
10.  
    ......
11.  
    // 根据handler来找到支持它的HandlerAdapter，通过HandlerAdapter执行这个最后的代码处理逻辑得到具体的返回结果
12.  
    HandlerAdapter ha = getHandlerAdapter(mappedHandler.getHandler());
13.  
    ......
14.  
    // 拦截器preHandle处理，按顺序执行
15.  
    if (!mappedHandler.applyPreHandle(processedRequest, response)) {
16.  
    return;
17.  
    }
18.  
    // handlerAdapter实际的执行逻辑
19.  
    mv = ha.handle(processedRequest, response, mappedHandler.getHandler());
20.  
    ......
21.  
    // 拦截器postHandle处理
22.  
    mappedHandler.applyPostHandle(processedRequest, response, mv);
23.  
    } catch (Throwable err) {
24.  
    ......
25.  
    } finally {
26.  
    ......
27.  
    }
28.  
    }

在doDispatch方法中，拦截器的preHandle执行逻辑在mappedHandler.applyPreHandle中，接下来我看下这个方法：

1.  
   boolean applyPreHandle(HttpServletRequest request, HttpServletResponse response) throws Exception {
2.  
   // 遍历handler绑定的所有interceptors，按顺序执行preHanlde方法
3.  
   for (int i = 0; i < this.interceptorList.size(); i ) {
4.  
   HandlerInterceptor interceptor = this.interceptorList.get(i);
5.  
   // 如果preHandle返回false，则触发afterCompletion方法的执行
6.  
   if (!interceptor.preHandle(request, response, this.handler)) {
7.  
   triggerAfterCompletion(request, response, null);
8.  
   return false;
9.  
   }
10.  
    this.interceptorIndex = i;
11.  
    }
12.  
    return true;
13.  
    }

debug跟踪到这个方法，发现applyPreHandle方法中this.interceptorList的长度为0，即处理该请求的handler没有绑定任何interceptor。这个时候很容易想到问题可能出现在handlerMapping上，因为handlerMapping负责将handler与一堆 handlerInterceptor（拦截器）封装到 HandlerExecutionChain 对象中

doDispatch中的getHandler方法断点

解决方案：

1.  
   package com.augurit.swj.config.filter;
2.  
    
3.  
   import org.springframework.beans.factory.annotation.Value;
4.  
   import org.springframework.core.MethodParameter;
5.  
   import org.springframework.http.HttpStatus;
6.  
   import org.springframework.http.MediaType;
7.  
   import org.springframework.http.server.ServerHttpRequest;
8.  
   import org.springframework.http.server.ServerHttpResponse;
9.  
   import org.springframework.web.bind.annotation.RestControllerAdvice;
10.  
    import org.springframework.web.servlet.mvc.method.annotation.ResponseBodyAdvice;
11.  
     
12.  
    import java.util.Arrays;
13.  
    import java.util.List;
14.  
     
15.  
    /**
16.  
    * @ClassName: SwaggerAdvice
17.  
    * @Author: zy
18.  
    * @Date: 2023/03/06 10:54
19.  
    * @Description:
20.  
    * 自定的HanderMapping初始化未绑定拦截器，导致拦截器失效
21.  
    * 通过ResponseBodyAdvice配合@ControllerAdvice注解，在请求响应体返回之前，校验请求URL
22.  
    *
23.  
    */
24.  
    @RestControllerAdvice
25.  
    public class SwaggerAdvice implements ResponseBodyAdvice {
26.  
     
27.  
    @Value("${agcloud.framework.swagger.enable}")
28.  
    private boolean swaggerEnable;
29.  
     
30.  
    private static final List<String> EXCLUDE_URL = Arrays.asList("/v2/api-docs");
31.  
     
32.  
    @Override
33.  
    public Object beforeBodyWrite(Object o, MethodParameter methodParameter, MediaType mediaType, Class aClass, ServerHttpRequest serverHttpRequest, ServerHttpResponse serverHttpResponse) {
34.  
    String url = serverHttpRequest.getURI().getHost() serverHttpRequest.getURI().getPath();
35.  
    //增加判断，只有配置文件打开了swagger才能访问
36.  
    if(swaggerEnable == true){
37.  
    return o;
38.  
    }
39.  
    if (EXCLUDE_URL.stream().anyMatch(item -> url.contains(item))) {
40.  
    serverHttpResponse.setStatusCode(HttpStatus.FORBIDDEN);
41.  
    return "没有权限";
42.  
    }
43.  
    return o;
44.  
    }
45.  
     
46.  
    @Override
47.  
    public boolean supports(MethodParameter methodParameter, Class aClass) {
48.  
    return true;
49.  
    }
50.  
    }

参考：记一次自定义拦截器失效的问题排查 - 简书

这篇好文章是转载于：学新通技术网