JFinal请求解析过程深入解析

0x00 JFinal框架概述

JFinal是基于Java语言的极速WEB + ORM框架，具有以下特点：

• 基于Servlet实现
• 通过web.xml进行配置
• 采用MVC架构模式
• 提供极简的路由配置方式

基本配置示例

典型的web.xml配置如下：

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
         xmlns="http://java.sun.com/xml/ns/javaee" 
         xmlns:web="http://java.sun.com/xml/ns/javaee" 
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" 
         id="WebApp_ID" version="2.5">
    
    <!-- jfinal配置 -->
    <filter>
        <filter-name>jfinal</filter-name>
        <filter-class>com.jfinal.core.JFinalFilter</filter-class>
        <init-param>
            <param-name>configClass</param-name>
            <param-value>com.jfinal.demo.Config</param-value>
        </init-param>
    </filter>
    
    <filter-mapping>
        <filter-name>jfinal</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
</web-app>

关键配置项：

• configClass参数指定项目定义的JFinalConfig实现类
• JFinalFilter拦截所有请求(/*)

路由配置

在Config类中通过configRoute方法配置路由：

public void configRoute(Routes me) {
    me.add("/test", TestController.class);
}

路由映射规则：

• /test → TestController.index()
• /test/info → TestController.info()

0x01 JFinal请求解析过程

1.1 整体流程

1. 所有请求被JFinalFilter拦截
2. 初始化阶段配置路由表和映射表
3. 请求处理在doFilter方法中完成

1.2 详细解析流程

JFinalFilter.doFilter方法处理流程：

1. 获取request和response对象

2. 设置编码

3. 获取请求路径：request.getRequestURI()

4. 处理contextPath：

   if (contextPathLength != 0) {
       target = target.substring(contextPathLength);
   }
   

5. 使用isHandled标记位判断是否需要处理该请求

6. 通过handler链处理请求（实际为ActionHandler）

ActionHandler.handle方法处理流程：

1. 静态资源过滤：

   if (target.indexOf('.') != -1) {
       return ;
   }
   

2. 设置isHandled为true

3. 从actionMapping获取对应Action：

   Action action = actionMapping.getAction(target);
   

ActionMapping构建过程：

1. 在com.jfinal.core.ActionMapping.buildActionMapping方法中初始化
2. 处理configRoute配置的所有Controller和方法
3. 进行封装并建立映射关系

Action获取逻辑：

1. 首先尝试直接匹配完整路径

2. 如果未找到，截取到最后一个/之前的路径重新查找：

   int index = target.lastIndexOf('/');
   if (index != -1) {
       String newTarget = target.substring(0, index);
       action = actionMapping.get(newTarget);
   }
   

3. 找到对应Action后执行Controller方法

0x02 安全风险分析

2.1 路由解析特性

JFinal的路由解析有以下特点：

1. 支持路径截取匹配
2. 对/admin/page、/admin/page/和/admin/page/bypass可能解析到同一个Action

2.2 与Shiro整合时的安全问题

典型Shiro配置：

[urls]
/login = anon
/doLogin = anon
/resources/** = anon
/logout = logout
/admin/* = authc

风险场景：

1. 直接访问/admin/page → 正常触发认证(302跳转)
2. 访问/admin/page/ → Shiro已修复此问题(无法绕过)
3. 访问/admin/page/bypass → 可能绕过Shiro鉴权

根本原因：

• JFinal的路由解析会截取路径进行匹配
• Shiro的路径匹配规则与JFinal不一致
• 导致鉴权绕过风险

0x03 最佳实践建议

开发建议

1. 路由配置：

   • 明确路由匹配规则
   • 避免模糊匹配带来的歧义

2. 安全整合：

   • 确保安全框架与路由框架的匹配规则一致
   • 对关键路径进行严格测试

安全建议

1. 修复方案：

   • 升级Shiro到最新版本
   • 自定义PathMatcher实现
   • 精确配置安全规则

2. 测试方案：

   • 测试各种路径变形访问
   • 包括追加/、添加子路径等情况

3. 监控方案：

   • 记录异常路径访问
   • 设置告警机制

总结

本文详细分析了JFinal框架的请求解析过程，从配置、路由到实际请求处理流程，并重点指出了与安全框架整合时可能存在的风险。开发者应当充分理解框架的底层机制，在享受便利的同时注意潜在的安全问题。