普元EOS学习笔记-EOS项目HTTP访问安全和权限控制

前言

对于企业应用系统，出于安全和权限控制的目的，需要对http请求做若干控制。

比如文件上传的时候要控制不允许上传的文件后缀。

又比如控制应用程序中的哪些资源不允许被访问。

EOS项目通过 xml配置文件来实现这一需求。

Http访问管理模块

在EOS项目中，Http的请求控制是通过 user-config.xml文件来配置的。

在boot构建包中，可以找到一个 user_config.xml 文件。

编辑 user-config.xml文件，可以找到一个 Access-Http的xml片段。

    <!-- http access configuration--><module name="Access-Http"><group name="FileUpload"><configValue key="TempDir">upload</configValue><configValue key="MaxSize">104857600</configValue><configValue key="InMemorySize">10240</configValue><!--files with specified ext names are not accespted when uploading  --><configValue key="Exclude">exe,java,jsp,html,htm,class,jar</configValue></group><group name="Encoding"><!-- the charset of the incoming HttpServletRequest--><configValue key="Request">UTF-8</configValue></group><group name="Suspend"><!-- the time to suspend, waiting for the xsd loading,in seconds.--><configValue key="TimeOut">60</configValue></group><group name="Login-Filter"><!-- pages that can be accessed by any one including those not login --><configValuekey="Exclude">/api/afc/login/third-party/validate,/api/afc/login/third-party/types,/api/taskcenter/push-task/*,/api/bfp/messagecenter/send-process-message,/api/afc/component-centers,/api/lowcode/resources/*/runtimes,/api/afc/preferences/info/*,/api/lowcode/shares/actions/*,/api/afc/login/clientId,/,*.gif,*.svg,.ttf,*.woff2,*.woff,*.jpg,*.json,*.ico,*.js,*.css,*.png,*.html,/api/afc/oauth2/*,/api/afc/login/third-party/auth,/api/afc/login/third-party/qrConnect,/api/afc/validation-code,/swagger-ui.html,/v2/api-docs,/webjars/*,/swagger-resources/*,/afc,/afc/,/api/afc/login,/api/afc/login/password/key,/actuator/*,/om/*,/common.remote,/jmxDefault.jmx,/common.download,/api/afc/materials/font/*,/api/afc/components/*,/api/afc/job/api/*</configValue><!-- <configValue key="Include">*.flow,*.flowx,*.jsp,*.html,*.ajax,*.ext,*.action,*.beanx</configValue> --><configValue key="Include">/*</configValue><!-- the page to display when user not login --><configValue key="LoginPage"></configValue></group><group name="Accessed-Mode"><configValue key="Portal">false</configValue></group><group name="Http-Security"><configValue key="isOpenSecurity">false</configValue><configValue key="Exclude">**/common.download</configValue><configValue key="regexs">eval\s*?\([^\)]+?\),alert\s*?\([^\)]+?\),new\s+?Function\s*?\([^\)]+?\),window\[[^\]]+?\]\s*?=</configValue></group></module>

这段配置信息的大概意思如下：

FileUpload（文件上传）:
- TempDir：指定上传文件的临时目录为 upload。
- MaxSize：设置上传文件的最大大小为 104857600 字节（即 100 MB）。
- InMemorySize：设置内存中存储的上传文件的最大大小为 10240 字节。
- Exclude：定义不允许上传的文件扩展名，包括 exe, java, jsp, html, htm, class, jar。
Encoding（编码）:
- Request：设置接收 HTTP 请求的字符集为 UTF-8。
Suspend（挂起）:
- TimeOut：设置等待 XSD 加载挂起的超时时间为 60 秒。
Login-Filter（登录过滤器）:
- Exclude：列出可以被任何人访问的页面，包括未登录的用户。列出了各种 API 端点和静态资源，如图片、JavaScript、CSS 等等。
- Include：设置允许所有页面（/*）。
- LoginPage：定义未登录用户访问时显示的页面。
Accessed-Mode（访问模式）:
- Portal：设置为 false，表示未启用门户模式。
Http-Security（HTTP 安全）:
- isOpenSecurity：设置为 false，表示未启用 HTTP 安全。
- Exclude：排除特定的 URL 匹配模式 **/common.download。
- regexs：定义正则表达式模式，用于防止安全漏洞，如 eval, alert, new Function, window[] 的直接赋值。