☰

企业官网建设流程全解析

首页 / 建站日记 / 企业官网建设流程全解析
Struts2安全登录模块开发与防护实践
2026/7/19 6:26:08 网站建设 项目流程

1. Struts2登录程序开发实战指南

在Java Web开发领域，Struts2作为经典的MVC框架，至今仍在不少传统企业系统中广泛应用。最近在排查一个老系统时，我发现很多开发者对Struts2的基础使用仍存在不少误区，特别是登录这种基础功能模块。今天我就结合最新安全实践，带大家完整实现一个带安全防护的Struts2登录程序。

登录模块看似简单，但涉及表单处理、会话管理、输入验证、安全防护等多个关键环节。很多2018年爆发的Struts2远程代码执行漏洞（如CVE-2018-11776），其根源往往就出在基础功能的安全防护不足。下面我们从零开始，构建一个符合当前安全标准的登录系统。

2. 环境准备与项目搭建

2.1 基础环境配置

推荐使用以下环境组合：

  • JDK 1.8（与Struts2 2.5.x版本兼容性最佳）
  • Apache Struts2 2.5.26（最后一个修复CVE-2018-11776的稳定版）
  • Tomcat 9.x
  • IntelliJ IDEA/Eclipse最新版

注意：切勿使用Struts2 2.3.x及以下版本，这些版本存在大量未修复的高危漏洞。即使在新项目中，也应选择2.5.x的最终版本。

2.2 Maven依赖配置

在pom.xml中添加核心依赖：

<dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-core</artifactId> <version>2.5.26</version> </dependency> <dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-convention-plugin</artifactId> <version>2.5.26</version> </dependency>

安全加固依赖：

<!-- 防止XSS攻击 --> <dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-text</artifactId> <version>1.9</version> </dependency> <!-- 密码加密 --> <dependency> <groupId>org.bouncycastle</groupId> <artifactId>bcprov-jdk15on</artifactId> <version>1.70</version> </dependency>

3. 登录功能核心实现

3.1 登录页面设计

在WebContent目录下创建login.jsp：

<%@ taglib prefix="s" uri="/struts-tags" %> <html> <head> <title>安全登录系统</title> </head> <body> <s:form action="login" method="POST" theme="simple"> <div> <label>用户名：</label> <s:textfield name="username" /> </div> <div> <label>密码：</label> <s:password name="password" /> </div> <s:token /> <!-- 关键：CSRF防护 --> <s:submit value="登录" /> </s:form> <s:actionerror /> <!-- 错误信息显示 --> </body> </html>

关键安全要点：

  1. 使用Struts2标签而非原生HTML表单，自动处理XSS防护
  2. 必须包含<s:token/>标签防止CSRF攻击
  3. 密码字段必须使用password类型

3.2 Action类实现

创建LoginAction.java：

package com.example.actions; import org.apache.struts2.convention.annotation.*; import com.opensymphony.xwork2.ActionSupport; import org.apache.commons.text.StringEscapeUtils; @Namespace("/") @Action("login") @Results({ @Result(name="success", location="/welcome.jsp"), @Result(name="error", location="/login.jsp"), @Result(name="input", location="/login.jsp") }) public class LoginAction extends ActionSupport { private String username; private String password; // 必须实现输入验证 public void validate() { if(username == null || username.trim().isEmpty()) { addFieldError("username", "用户名不能为空"); } else if(username.length() > 20) { addFieldError("username", "用户名过长"); } if(password == null || password.trim().isEmpty()) { addFieldError("password", "密码不能为空"); } } public String execute() { // 输入净化 username = StringEscapeUtils.escapeHtml4(username); try { // 模拟用户验证 if("admin".equals(username) && "Admin@123".equals(password)) { // 创建会话 Map<String, Object> session = ActionContext.getContext().getSession(); session.put("user", username); session.put("loggedIn", true); return SUCCESS; } else { addActionError("用户名或密码错误"); return ERROR; } } catch(Exception e) { addActionError("系统异常，请重试"); return ERROR; } } // getters and setters }

安全增强点：

  1. 使用@Namespace和@Action注解替代struts.xml配置
  2. 必须实现validate()方法进行输入验证
  3. 所有用户输入必须经过StringEscapeUtils处理
  4. 会话管理使用Struts2原生Session机制

3.3 安全配置加固

在struts.xml中添加以下安全配置：

<struts> <!-- 防止动态方法调用 --> <constant name="struts.enable.DynamicMethodInvocation" value="false" /> <!-- 严格模式 --> <constant name="struts.devMode" value="false" /> <!-- 防止目录遍历 --> <constant name="struts.serve.static" value="false" /> <!-- 启用CSRF防护 --> <interceptors> <interceptor-stack name="secureStack"> <interceptor-ref name="token"/> <interceptor-ref name="defaultStack"/> </interceptor-stack> </interceptors> <default-interceptor-ref name="secureStack"/> </struts>

4. 高级安全防护实现

4.1 密码加密存储

即使示例中使用硬编码密码，实际项目必须加密存储：

import org.bouncycastle.crypto.generators.PKCS5S2ParametersGenerator; import org.bouncycastle.crypto.params.KeyParameter; public class PasswordUtil { private static final int ITERATIONS = 10000; private static final int KEY_LENGTH = 256; public static String hashPassword(String password, byte[] salt) { PKCS5S2ParametersGenerator gen = new PKCS5S2ParametersGenerator(); gen.init(password.getBytes(), salt, ITERATIONS); byte[] key = ((KeyParameter) gen.generateDerivedParameters(KEY_LENGTH)).getKey(); return Hex.toHexString(key); } public static boolean verifyPassword(String inputPassword, String storedHash, byte[] salt) { String inputHash = hashPassword(inputPassword, salt); return inputHash.equals(storedHash); } }

4.2 防暴力破解

在LoginAction中添加登录限制：

private static final Map<String, AtomicInteger> attemptCache = new ConcurrentHashMap<>(); private static final int MAX_ATTEMPTS = 5; public String execute() { // 检查尝试次数 AtomicInteger attempts = attemptCache.getOrDefault(username, new AtomicInteger(0)); if(attempts.get() >= MAX_ATTEMPTS) { addActionError("账户已锁定，请稍后再试"); return ERROR; } // ...验证逻辑... if(验证失败) { attempts.incrementAndGet(); attemptCache.put(username, attempts); } }

4.3 会话固定防护

在struts.xml中添加：

<constant name="struts.session.preventSessionFixation" value="true" />

5. 常见问题排查

5.1 表单提交后无响应

可能原因及解决方案：

  1. 未正确配置struts.xml的package命名空间
    • 确保与form的action路径匹配
  2. 缺少getter/setter方法
    • 所有表单字段必须有对应的getter/setter
  3. 拦截器栈配置错误
    • 检查default-stack是否包含basicStack

5.2 Token验证失败

典型错误：

Invalid token was found for token name...

解决方案：

  1. 确保表单包含<s:token/>标签
  2. 检查jsp页面是否有多个form共用token
  3. 验证服务器时间是否准确（影响token时效）

5.3 中文乱码问题

统一编码方案：

  1. 在struts.xml中添加：
    <constant name="struts.i18n.encoding" value="UTF-8"/>
  2. 所有jsp页面添加：
    <%@ page contentType="text/html;charset=UTF-8" %>
  3. 在web.xml中配置过滤器：
    <filter> <filter-name>encodingFilter</filter-name> <filter-class>org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class> <init-param> <param-name>encoding</param-name> <param-value>UTF-8</param-value> </init-param> </filter>

6. 性能优化建议

6.1 静态资源处理

配置struts.xml排除静态资源：

<constant name="struts.action.excludePattern" value="/static/.*,.*\.png,.*\.jpg,.*\.css,.*\.js"/>

6.2 结果缓存

对登录页面启用缓存：

@Result(name="input", location="/login.jsp", params={"cacheControl","no-cache,no-store"})

6.3 最小化拦截器栈

自定义轻量级拦截器栈：

<interceptor-stack name="loginStack"> <interceptor-ref name="token"/> <interceptor-ref name="params"/> <interceptor-ref name="validation"/> </interceptor-stack>

7. 安全审计要点

最后提醒几个必须检查的安全项：

  1. 确保所有用户输入都经过净化处理
  2. 会话ID必须使用HttpOnly和Secure标志
  3. 禁用Struts2的devMode模式
  4. 定期检查Struts2的安全公告
  5. 关键操作必须记录详细日志

我在实际项目中遇到过因忽略token验证导致的CSRF攻击，也见过因未过滤OGNL表达式导致的RCE漏洞。建议每个Struts2开发者都至少完整阅读一次官方安全指南，这比解决生产环境的事故要划算得多。

标签： 网站建设 企业官网 项目流程 UI设计 前端开发

热门文章

文章分类

标签云

网站建设 响应式设计 用户体验 SEO优化 前端开发 小程序 电商平台 性能优化

相关文章

您可能感兴趣的其他内容

Android线程通信与UI更新：Handler机制详解
2026/7/19 6:20:15 网站建设

Android线程通信与UI更新：Handler机制详解

1. Android线程与UI更新的核心矛盾在Android开发中&#xff0c;最经典的线程问题莫过于"非UI线程不能直接操作界面元素"这条铁律。我刚入行时&#xff0c;就因为在子线程里直接调用了TextView.setText()导致应用崩溃&#xff0c;控制台那个"Only the original t…...

阅读更多 →
缺失值处理不是填空题：从MCAR/MAR/MNAR机制到6大工程化策略
2026/7/19 6:19:33 网站建设

缺失值处理不是填空题：从MCAR/MAR/MNAR机制到6大工程化策略

1. 这不是“填空题”&#xff0c;是建模前最关键的决策点你手里的数据集&#xff0c;大概率不是教科书里那种干净得能反光的样本。它可能来自医院HIS系统导出的Excel&#xff0c;可能是IoT设备凌晨三点传回的JSON日志&#xff0c;也可能是市场部用问卷星收上来的2000份用户反馈…...

阅读更多 →
Allegro PCB 设计实战：T型拓扑结构创建与等长规则设置详解
2026/7/19 6:18:48 网站建设

Allegro PCB 设计实战：T型拓扑结构创建与等长规则设置详解

原创 LowHuang LowHuangMakerSpace 简介&#xff1a;LowHuangMakerSpace专注于嵌入式开发&#xff0c;并且开创了个人博客网站www.lowhuangspacemaker.cn 引言 在高速PCB设计中&#xff0c;T型拓扑结构是处理多负载信号&#xff08;如DDR内存&#xff09;时常用的布线方式&a…...

阅读更多 →

需要专业的网站建设服务？

联系我们获取免费的网站建设咨询和方案报价，让我们帮助您实现业务目标

立即咨询